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DECRETI E DELIBERE DI ALTRE AUTORITÀ 


GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


DELIBERA 15 maggio 2014. 


Linee guida in materia di trattamento di dati personali, 
contenuti anche in atti e documenti amministrativi, effettua- 
to per finalità di pubblicità e trasparenza sul web da soggetti 
pubblici e da altri enti obbligati. (Provvedimento n. 243). 


IL GARANTE PER LA PROTEZIONE 
DEI DATI PERSONALI 


Nella riunione odierna, in presenza del dott. Antonello 
Soro, presidente, della dott.ssa Augusta Iannini, vicepre- 
sidente, della dott.ssa Giovanna Bianchi Clerici e della 
prof.ssa Licia Califano, componenti, e del dott. Giuseppe 
Busia, segretario generale; 


Vista la direttiva del Parlamento europeo e del Con- 
siglio 95/46/CE del 24 ottobre 1995 relativa alla tutela 
delle persone fisiche con riguardo al trattamento dei dati 


personali, nonché alla libera circolazione di tali dati; 


Visto il Codice in materia di protezione dei dati perso- 
nali (decreto legislativo 30 giugno 2003, n. 196, di segui- 
to «Codice»); 


Considerato il «Parere del Garante su uno schema di 
decreto legislativo concernente il riordino della disciplina 
riguardante gli obblighi di pubblicità, trasparenza e diffu- 
sione di informazioni da parte delle P.a.» del 7 febbraio 
2013 (in www.garanteprivacy.it, doc. web n. 2243168); 


Visto il decreto legislativo 14 marzo 2013, n. 33 re- 
cante «Riordino della disciplina riguardante gli obblighi 
di pubblicità, trasparenza e diffusione di informazioni da 
parte delle pubbliche amministrazioni» (nella Gazzetta 
Ufficiale del 5 aprile 2013, n. 80); 


Viste le «Linee guida in materia di trattamento di dati 
personali contenuti anche in atti e documenti amministra- 
tivi effettuato da soggetti pubblici per finalità di pubblica- 
zione e diffusione sul web» del 2 marzo 2011 (nella Gaz- 
zetta Ufficiale del 19 marzo 2011, n. 64, p. 32; in www. 
garanteprivacy.it, doc. web n. 1793203); 


Esaminate le segnalazioni e i quesiti pervenuti in ordi- 
ne al trattamento dei dati personali derivante dagli obbli- 
ghi di pubblicazione di atti e informazioni nel web conte- 
nuti nel citato decreto legislativo n. 33/2013; 


Ritenuta l’opportunità di individuare un quadro orga- 
nico e unitario di garanzie finalizzato a indicare apposite 
cautele in relazione alle ipotesi di diffusione di dati per- 
sonali mediante la pubblicazione sui siti web da parte di 
organismi pubblici e in particolare di quelli chiamati a 
dare attuazione al decreto legislativo n. 33/2013 attraver- 
so l’adozione di nuove «Linee guida in materia di tratta- 
mento di dati personali, contenuti anche in atti e docu- 
menti amministrativi, effettuato per finalità di pubblicità 
e trasparenza sul web da soggetti pubblici e da altri enti 
obbligati»; 


Considerato che tali nuove Linee guida sono state ela- 
borate come opportuno supporto fornito a tutti i soggetti 
pubblici e altri enti obbligati per favorire l’implementa- 
zione, sotto il profilo della protezione dei dati personali, 
delle numerose e complesse disposizioni normative che 
si sono succedute negli ultimi anni in materia di pubbli- 
cazione e di diffusione dei dati, specie con riguardo al 
conseguimento della finalità di trasparenza; 


Rilevato che il quadro legislativo e regolamentare inci- 
dente su tale materia andrà soggetto a ulteriori modifica- 
zioni, segnatamente in relazione alla necessità di recepire 
nell’ordinamento nazionale la nuova direttiva 2013/37/ 
UE relativa al riutilizzo dell’informazione del settore 
pubblico, e che pertanto potranno essere adottate altre li- 
nee guida e provvedimenti anche sulla base di una leale 


collaborazione con le altre autorità competenti; 


Tenuto conto delle osservazioni e dei riscontri ricevuti 
dal Dipartimento della funzione pubblica presso la Presi- 
denza del Consiglio dei ministri, dall’ Autorità nazionale 


anticorruzione e per la valutazione e la trasparenza delle 
amministrazioni pubbliche (già CIVIT e ora ANAC) e 
dall’ Agenzia per l’Italia Digitale (AgID); 
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Vista la documentazione in atti; 


Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante 


n. 1/2000; 


Relatore la prof.ssa Licia Califano; 
Delibera: 


1) ai sensi dell’art. 154, comma 1, lett. 4), del Codice di adottare le «Linee guida in materia di trattamento di dati 
personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul 
web da soggetti pubblici e da altri enti obbligati» contenute nel documento allegato che forma parte integrante della 


presente deliberazione; 


2) che copia del presente provvedimento sia trasmessa al Ministero della giustizia-Ufficio pubblicazione leggi e 


decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 15 maggio 2014 


Il Presidente: Soro 
Il Relatore: CALIFANO 


Il Segretario generale: Busia 
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IL GARANTE PER LA PROTEZIONE DEI 
DATI PERSONALI 


«Linee guida in materia di trattamento di dati personali, contenuti 
anche in atti e documenti amministrativi, effettuato per finalità di 

pubblicità e trasparenza sul web da soggetti pubblici e da altri enti 
obbligati» 


(Allegato alla deliberazione n. 243 del 15 maggio 2014) 
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INTRODUZIONE 


OBBLIGHI DI PUBBLICITÀ 


Le recenti modifiche legislative in materia di pubblicità e trasparenza 
della pubblica amministrazione (cfr. da ultimo il d. lgs. 14 marzo 2013, n. 
33) hanno reso necessario un intervento del Garante diretto ad assicurare 
l’osservanza della disciplina in materia di protezione dei dati personali 
nell’adempimento degli obblighi di pubblicazione sul web previsti dalle di- 
sposizioni di riferimento. 

Le presenti Linee guida hanno, pertanto, lo scopo di definire un qua- 
dro unitario di misure e accorgimenti volti a individuare opportune cautele 
che i soggetti pubblici, e gli altri soggetti parimenti destinatari delle norme 
vigenti, sono tenuti ad applicare nei casi in cui effettuano attività di diffu- 
sione di dati personali sui propri siti web istituzionali per finalità di traspa- 
renza o per altre finalità di pubblicità dell’azione amministrativa. Pertanto, 
il presente provvedimento sostituisce le precedenti «Linee guida in materia 
di trattamento di dati personali contenuti anche in atti e documenti ammi- 
nistrativi, effettuato da soggetti pubblici per finalità di pubblicazione e dif- 
fusione sul web» del 2 marzo 2011 (doc. web n. 1793203). 

In via preliminare, vanno distinte, considerato il profilo del diverso 
regime giuridico applicabile, le disposizioni che regolano gli obblighi di 
pubblicità dell’azione amministrativa per finalità di trasparenza da quelle 
che regolano forme di pubblicità per finalità diverse (ad es. pubblicità lega- 
le); 

In particolare, gli obblighi di pubblicazione online di dati per finalità 
di «trasparenza» sono quelli indicati nel d. lgs. n. 33/2013 e nella normati- 
va vigente in materia avente a oggetto le «informazioni concernenti 
l’organizzazione e l’attività delle pubbliche amministrazioni, allo scopo di 
favorire forme diffuse di controllo sul perseguimento delle funzioni istitu- 
zionali e sull’utilizzo delle risorse pubbliche». A tali obblighi si applicano 
le indicazioni contenute nella parte prima delle presenti Linee guida. 

Accanto a questi obblighi di pubblicazione permangono altri obblighi 
di pubblicità online di dati, informazioni e documenti della p.a. —contenuti 
in specifiche disposizioni di settore diverse da quelle approvate in materia 
di trasparenza—- come, fra l’altro, quelli volti a far conoscere l’azione am- 
ministrativa in relazione al rispetto dei principi di legittimità e correttezza, 
o quelli atti a garantire la pubblicità legale degli atti amministrativi (ad es. 
pubblicità integrativa dell’efficacia, dichiarativa, notizia). Si pensi, a titolo 
meramente esemplificativo, alle pubblicazioni ufficiali dello Stato, alle 
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pubblicazioni di deliberazioni, ordinanze e determinazioni sull’albo preto- 
rio online degli enti locali (oppure su analoghi albi di altri enti, come ad e- 
sempio le Asl), alle pubblicazioni matrimoniali, alla pubblicazione degli at- 
ti concernenti il cambiamento del nome, alla pubblicazione della comuni- 
cazione di avviso deposito delle cartelle esattoriali a persone irreperibili, ai 
casi di pubblicazione dei ruoli annuali tributari dei consorzi di bonifica, alla 
pubblicazione dell’elenco dei giudici popolari di corte d’assise, etc.. A tali 
obblighi si riferiscono le indicazioni contenute nella parte seconda delle 
presenti Linee guida. 

In tutti i casi, indipendentemente dalla finalità perseguita, laddove la 
pubblicazione online di dati, informazioni e documenti, comporti un 
trattamento di dati personali, devono essere opportunamente contemperate 
le esigenze di pubblicità e trasparenza con 1 diritti e le libertà fondamentali, 
nonché la dignità dell’interessato, con particolare riferimento alla 
riservatezza, all’identità personale e al diritto alla protezione dei dati 
personali (art. 2 del Codice). 

In tale quadro, è opportuno evidenziare che le decisioni, assunte dalle 
amministrazioni pubbliche o dagli altri soggetti onerati, in ordine 
all’attuazione degli obblighi di pubblicità sui siti web istituzionali di infor- 
mazioni, atti e documenti contenenti dati personali sono oggetto di sindaca- 
to da parte del Garante al fine di verificare che siano rispettati i principi in 
materia di protezione dei dati personali. 

Si fa presente, altresì, che la diffusione di dati personali da parte dei 
soggetti pubblici effettuato in mancanza di idonei presupposti normativi è 
sanzionata ai sensi degli artt. 162, comma 2-bis, e 167 del Codice. 

Inoltre, l’interessato che ritenga di aver subito un danno —anche non 
patrimoniale— in particolare per effetto della diffusione di dati personali, 
può far valere le proprie pretese risarcitorie, ove ne ricorrano i presupposti, 
davanti all’autorità giudiziaria ordinaria (art. 15 del Codice). 
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PARTE PRIMA 


PUBBLICITÀ PER FINALITÀ DI TRASPARENZA 


1. Principi e oggetto del “decreto trasparenza” (artt. 1, 2 e 3 del d. lgs. 
n. 33/2013) 


Con il d. lgs. 14 marzo 2013 n. 33 intitolato «Riordino della 
disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione 
di informazioni da parte delle pubbliche amministrazioni» il legislatore —in 
attuazione della delega contenuta nella legge 6 novembre 2012, n. 190, re- 
cante: «Disposizioni per la prevenzione e la repressione della corruzione e 
dell’illegalità nella pubblica amministrazione» (art. 1, commi 35 e 36)- ha 
disciplinato in maniera organica i casi di pubblicità per finalità di 
trasparenza mediante inserzione di dati, informazioni, atti e documenti sui 
siti web istituzionali dei soggetti obbligati. 

A tal fine, nel capo I dedicato ai «principi generali», la trasparenza è 
definita come «l'accessibilità totale delle informazioni concernenti 
l’organizzazione e l’attività delle pubbliche amministrazioni, allo scopo di 
favorire forme diffuse di controllo sul perseguimento delle funzioni istitu- 
zionali e sull’utilizzo delle risorse pubbliche» (art. 1, comma 1). 

Nel medesimo capo I è precisato che «oggetto del decreto» è 
l’individuazione degli obblighi’ di trasparenza’ «concernenti iene 
l’organizzazione e l’attività delle pubbliche amministrazioni» e che «tutti i 
documenti, le informazioni e i dati oggetto di pubblicazione obbligatoria ai 
sensi della normativa vigente sono pubblici e chiunque ha diritto di cono- 
scerli, di fruirne gratuitamente, e di utilizzarli e riutilizzarli ai sensi 
dell’articolo 7» (art. 2, comma 1, e art. 3). 

Si evidenzia, in proposito, che lo stesso legislatore, ai soli fini del 
campo di applicazione del decreto, definisce la «pubblicazione» come 
l’inserimento nei siti istituzionali delle pubbliche amministrazioni, in con- 
formità alle specifiche e alle regole tecniche previste nell’allegato al decre- 
to stesso, dei documenti, delle informazioni e dei dati «concernenti 
l’organizzazione e l’attività delle pubbliche amministrazioni» (art. 2, com- 
ma 2). 

Da ciò si deduce che tutte le volte in cui nel d.lgs. n. 33/2013 è uti- Gj; obblighi di 
lizzata la locuzione «pubblicazione obbligatoria ai sensi della normativa pubblicazione con- 
vigente» —cfr. artt. 3, 5, 7, 8, 9, 10, 41, 43, 45, 46 e 48- il riferimento è li- P°MENE 


l’organizzazione e 


mitato agli «obblighi di pubblicazione concernenti l’organizzazione e l’attività delle pub- 
l’ CARICO di Il bbli, 7a sos 4 . i 01 hi ld 1 bliche amministra- 
attivita delle pubbliche amministrazioni» contenuti oltre che nel d. Igs. n. ;oni per finalità di 


33/2013 anche in altre disposizioni normative aventi analoga finalità di tra- trasparenza 
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sparenza, con esclusione degli obblighi di pubblicazione aventi finalità di- 
verse. 

La tipologia dei predetti obblighi di pubblicazione per finalità di tra- 
sparenza concernenti l’organizzazione e l’attività delle pubbliche 
amministrazioni è schematicamente riassunta nell’allegato al d. lgs. n. 
33/2013 che individua la «struttura delle informazioni sui siti istituziona- 
liv! e che precisa come la sezione dei siti istituzionali denominata «Ammi- 
nistrazione trasparente» deve essere organizzata in sotto-sezioni all’interno 
delle quali devono essere inseriti i documenti, le informazioni e i dati pre- 
visti dal decreto (art. 48 e Allegato al decreto legislativo). 

Uno schema più particolareggiato degli obblighi di pubblicazione ai 
sensi della normativa vigente per finalità di trasparenza sopra descritti è 
contenuto poi nell’allegato n. 1 della delibera della CIVIT n. 50/2013 re- 
cante «Linee guida per l’aggiornamento del Programma triennale per la 
trasparenza e l’integrità 2014-2016» cui si rimanda”. 

Per tale motivo, come si è detto, devono ritenersi estranei all’oggetto 
del citato decreto legislativo tutti gli obblighi di pubblicazione previsti da 
altre disposizioni per finalità diverse da quelle di trasparenza, quali gli 
obblighi di pubblicazione a fini di pubblicità legale*, pubblicità integrativa 
dell’efficacia, pubblicità dichiarativa o notizia (già illustrati in forma 
esemplificativa nell’«Introduzione» (pag. 4) e presi in considerazione nella 
parte seconda delle presenti Linee guida. 

Si pensi, ad esempio -tra i diversi casi indicati alle pubblicazioni 
matrimoniali, la cui affissione alla porta della casa comunale (e oggi sui siti 
web istituzionali dei comuni) è prevista per otto giorni (cfr. art. 55 del 
d.P.R. n. 396 del 3/11/2000). La pubblicazione dei dati personali dei nu- 
bendi assolve a una funzione che evidentemente esula dalle finalità di tra- 
sparenza previste dal d. lgs. n. 33/2013 e che è pienamente assolta con la 
semplice pubblicazione per la durata temporale prevista. Infatti, sarebbe ir- 
ragionevole applicare a essi il regime di conoscibilità previsto dalla norma- 
tiva sulla trasparenza (limiti temporali di permanenza sul web, indicizza- 
zione, accesso civico, riutilizzo etc.). 

Di conseguenza, tutte le ipotesi di pubblicità non riconducibili a fina- 
lità di trasparenza (cfr. gli esempi forniti nell’«Introduzione» alle presenti 
Linee guida), qualora comportino una diffusione di dati personali, sono 
escluse dall’oggetto del d. lgs. n. 33/2013 e dall’ambito di applicazione 
delle relative previsioni fra cui, in particolare, quelle relative all’accesso 


! Ai sensi del d. lgs. n. 33/2013, l’allegato al decreto costituisce parte integrante dello stesso e può 
essere modificato solo con un d.P.C.M. sentito il Garante per la protezione dei dati personali, la Confe- 
renza unificata, 1’ Agenzia Italia Digitale, la CIVIT (ora ANAC) e l’ISTAT (art. 48, comma 2). 

? Documento reperibile in 4t1p:/Awww.civit.i/?p=8953. 

3 Nello stesso d. lgs. n. 33/2013 si fa riferimento più volte a ipotesi di pubblicità legale per finalità 
diverse da quelle di trasparenza (cfr. artt. 19, comma 1, e 37, comma 1). 
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civico (art. 5), all’indicizzazione (art. 4 e 9), al riutilizzo (art. 7), alla durata 
dell’obbligo di pubblicazione (art. 8) e alla trasposizione dei dati in 
archivio (art. 9). 


2. Limiti generali alla trasparenza (artt. 1 e 4 del d. lgs. n. 33/2013) 


I principi e la disciplina di protezione dei dati personali — come pe- 
raltro previsto anche dagli artt. 1, comma 2, e 4 del d. Igs. n. 33/2013 (v. al- 
tresì art. 8, comma 3) — devono essere rispettati anche nell’attività di pub- 
blicazione di dati sul web per finalità di trasparenza. 
In merito, si rappresenta che «dato personale» è «qualunque infor- 
mazione relativa a persona fisica, identificata o identificabile, anche indi- 
rettamente, mediante riferimento a qualsiasi altra informazione, ivi com- 
preso un numero di identificazione personale» (art. 4, comma 1, lett. 5), del 
Codice). 
Inoltre, la «diffusione» di dati personali —ossia «il dare conoscenza 1 soggetti pubblici 
dei dati personali a soggetti indeterminati, in qualunque forma, anche me- B95S0m0 diftondere 


dati personali per 
diante la loro messa a disposizione o consultazione» (art. 4, comma 1, lett. finalità di traspa- 


m) del Codice)- da parte dei «soggetti pubblici» è ammessa unicamente i isnrizio» 
quando la stessa è prevista da una specifica norma di legge o di regolamen- ne dilegge o di 
to (art. 19, comma 3, del Codice). Pertanto, in relazione all’operazione di \L.-. 
diffusione, occorre che le pubbliche amministrazioni, prima di mettere a di- Codice) 
sposizione sui propri siti web istituzionali informazioni, atti e documenti 
amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) 
contenenti dati personali, verifichino che la normativa in materia di traspa- 
renza preveda tale obbligo (artt. 4, comma 1, lett. m), 19, comma 3 e 22, 
comma 11, del Codice). 

Laddove l’amministrazione riscontri l’esistenza di un obbligo norma- 
tivo che impone la pubblicazione dell’atto o del documento nel proprio sito 
web istituzionale è necessario selezionare i dati personali da inserire in tali 
atti e documenti, verificando, caso per caso, se ricorrono i presupposti per 
l’oscuramento di determinate informazioni. 

I soggetti pubblici, infatti, in conformità ai principi di protezione dei 
dati, sono tenuti a ridurre al minimo l’utilizzazione di dati personali e di da- Rispetto del prin- 
ti identificativi ed evitare il relativo trattamento quando le finalità perse- ‘"P'° d' neeessità 
guite nei singoli casi possono essere realizzate mediante dati anonimi o al- 
tre modalità che permettano di identificare l’interessato solo in caso di ne- 
cessità (c.d. “principio di necessità” di cui all’art. 3, comma 1, del Codice). 
Pertanto, anche in presenza degli obblighi di pubblicazione di atti o docu- 


4 Dati identificativi sono i «dati personali che permettono l’identificazione diretta dell'interessato» 
(cfr. art. 4, comma 1, lett. c), del Codice). 
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menti contenuti nel d. lgs. n. 33/2013, i soggetti chiamati a darvi attuazione 
non possono comunque «rendere [...] intelligibili i dati personali non per- 
tinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche 
finalità di trasparenza della pubblicazione» (art. 4, comma 4, del d. lgs. n. 
33/2013). 
È, quindi, consentita la diffusione dei soli dati personali la cui inclu- 
sione in atti e documenti da pubblicare sia realmente necessaria e propor- Rispetto dei prin- 
zionata alla finalità di trasparenza perseguita nel caso concreto (c.d. “prin- =. .. i 
cipio di pertinenza e non eccedenza” di cui all’art. 11, comma 1, lett. d), 
del Codice). Di conseguenza, i dati personali che esulano da tale finalità 
non devono essere inseriti negli atti e nei documenti oggetto di pubblica- 
zione online. In caso contrario, occorre provvedere, comunque, 
all’oscuramento delle informazioni che risultano eccedenti o non pertinenti. 
È, invece, sempre vietata la diffusione di dati idonei a rivelare lo 
«stato di salute» (art. 22, comma 8, del Codice) e «/a vita sessuale» (art. 4, Divieto di difta- 
COMMA 6, del d. lgs. n. 33/2013). sione dei dati ido- 
In particolare, con riferimento ai dati idonei a rivelare lo stato di sa- "e? 'Nelarelo | 
lute degli interessati, è vietata la pubblicazione di qualsiasi informazione da vita sessuale 
cui si possa desumere, anche indirettamente, lo stato di malattia © 
l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferi- 
mento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici’ 
(art. 22, comma 8, del Codice). 
Il procedimento di selezione dei dati personali che possono essere re- 
si conoscibili online deve essere, inoltre, particolarmente accurato nei casi 
in cui tali informazioni sono idonee a rivelare l’origine razziale ed etnica, le 
convinzioni religiose, filosofiche, le opinioni politiche, l’adesione a partiti, 
sindacati, associazioni o organizzazioni a carattere religioso, filosofico, po- pubblicazione di 
litico o sindacale («dati sensibili»), oppure nel caso di dati idonei a rivelare dati sensibili e giu- 
provvedimenti di cui all’art. 3, comma 1, lettere da a) a 0) e da 7) a v), del Panini E 
d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di a- 
nagrafe delle sanzioni amministrative dipendenti da reato e dei relativi ca- 
richi pendenti, nonché la qualità di imputato o di indagato («dati giudizia- 
ri») (art. 4, comma 1, lett. d) ed e), del Codice). 
I dati sensibili e giudiziari, infatti, sono protetti da un quadro di ga- 
ranzie particolarmente stringente che prevede la possibilità per i soggetti 


° Sulla nozione di dato relativo alle condizioni di salute cfr. “Linee guida in materia di trattamento 
di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 
giugno 2007, doc. web n. 1417809, punto 6.3; nonché, ex pluribus, i provvedimenti del Garante 27 giu- 
gno 2013, doc. web n. 2576686; 4 aprile 2013, doc. web n. 2460997; 4 aprile 2013, doc. web n. 2473879; 
22 novembre 2012, doc. web n. 2194472; 29 novembre 2012, doc. web n. 2192671; 7 ottobre 2009, doc. 
web n. 1664456; 17 settembre 2009, doc. web n. 1658335; 25 giugno 2009, doc. web n. 1640102; 3 feb- 
braio 2009, doc. web n. 1597590; 8 maggio 2008, doc. web n. 1521716; 18 gennaio 2007, doc. web n. 
1382026; 7 luglio 2004, doc. web nn. 1068839 e 1068917; 27 febbraio 2002, doc. web n. 1063639. Nella 
giurisprudenza di legittimità v. Cass. civ., sez. I, 8/8/2013, n. 18980. 


= = 
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pubblici di diffondere tali informazioni solo nel caso in cui sia previsto da 
una espressa disposizione di legge e di trattarle solo nel caso in cui siano in 
concreto «indispensabili» per il perseguimento di una finalità di rilevante 
interesse pubblico come quella di trasparenza; ossia quando la stessa non 
può essere conseguita, caso per caso, mediante l’utilizzo di dati anonimi o 
di dati personali di natura diversa (art. 4, commi 2 e 4, del d. lgs. n. 
33/2013 cit.; artt. 20, 21 e 22, con particolare riferimento ai commi 3, 5 e 
11, e art. 68, comma 3, del Codice). 

Pertanto, come rappresentato dal Garante nel parere del 7 febbraio 
2013 (doc. web n. 2243168), gli enti pubblici sono tenuti a porre in essere 
la massima attenzione nella selezione dei dati personali da utilizzare, sin 
dalla fase di redazione degli atti e documenti soggetti a pubblicazione, in 
particolare quando vengano in considerazione dati sensibili. In proposito, 
può risultare utile non riportare queste informazioni nel testo dei provve- 
dimenti pubblicati online (ad esempio nell’oggetto, nel contenuto, etc.), 
menzionandole solo negli atti a disposizione degli uffici (richiamati quale 
presupposto del provvedimento e consultabili solo da interessati e controin- 
teressati), oppure indicare delicate situazioni di disagio personale solo sulla 
base di espressioni di carattere più generale 0, se del caso, di codici nume- 
rici (cfr. par. 2 del parere citato). 

Effettuata, alla luce delle predette indicazioni, la previa valutazione 
circa i presupposti e l’indispensabilità della pubblicazione di dati sensibili e Deindicizzare 
giudiziari, devono essere adottate idonee misure e accorgimenti tecnici vol- a 
ti ad evitare «/a indicizzazione e la rintracciabilità tramite i motori di ri- 
cerca web ed il loro riutilizzo» (cfr. art. 4, comma 1 e art. 7 del d. lgs. n. 
33/2013, tenendo altresì in considerazione le indicazioni fornite infra nei 
parr. 6 e 8 della presente parte ai quali si rimanda). 

Per esigenze di chiarezza espositiva, i limiti alla trasparenza soprade- Rinvio 


ua . . : ; allo schema 1 
scritti sono sinteticamente rappresentati nello schema 1 sotto riportato. sotto riportato 
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DATI COMUNI 


es. nome e cognome, 
sesso, data e luogo di 
nascita, indirizzo, codice 
fiscale 


Principio di 
pertinenza e non 
eccedenza 


| soggetti pubblici 
non possono 
rendere intellegibili 
i dati personali non 
necessari, 
eccedenti o non 
pertinenti con le 
finalità della 
pubblicazione 


DATO PERSONALE 


qualunque informazione 
relativa a persona fisica 
identificata o identificabile 
mediante qualsiasi 
informazione, ivi compreso 
un numero di 
identificazione personale 


prima della pubblicazione di un documento che 
contiene DATI PERSONALI sul WEB, i soggetti 
pubblici devono verificare l’esistenza di una 


specifica norma di legge o di regolamento* che 
preveda tale pubblicazione 


se ESISTE 


una norma di legge o di 
regolamento * che 
ammette la pubblicazione 
nel sito istituzionale 


i soggetti pubblici 
devono distinguere la 
natura dei dati 
personali oggetto di 
diffusione 


DATI SENSIBILI idonei a 
rivelare origine razziale ed 
etnica, convinzioni religiose, 
filosofiche o di altro genere, 
opinioni politiche, adesione a 
partiti, sindacati, associazioni e 
organizzazioni a carattere 
filosofico, politico o sindacale 


DATI GIUDIZIARI idonei a 
rivelare provvedimenti di cui 
all'art. 3, co. 1, lett. da a)ao)e 
da r) a u), del d.P.R. 313/2002 
in materia di casellario 
giudiziale, di anagrafe delle 
sanzioni amministrative 
dipendenti da reato e dei 
relativi carichi pendenti, o la 
qualità di imputato o di 
indagato ai sensi degli art. 60 e 
61 del c.p.c. 


possono essere 
diffusi solo se 

indispensabili per 
raggiungere le 
finalità della 
pubblicazione 


se NON ESISTE 
una norma di legge o 
di regolamento* che 
impone la 
pubblicazione nel 
sito istituzionale 


la pubblicazione è 
legittima solo procedendo 
all'anonimizzazione dei 
dati personali 


DATI SENSIBILI E 
GIUDIZIARI 


dati sensibili 
idonei a 
rivelare 
la vita sessuale 


dati sensibili 
idonei a rivelare 
lo stato di salute 


divieto assoluto 
di diffusione per 
finalità di 
trasparenza. Per 
altre finalità 
possono essere 
diffusi solo se 
indispensabili 


divieto 
assoluto di 
diffusione 


* N.B. Si precisa che la diffusione di dati comuni è ammessa solo se prevista da una norma di legge o di regolamento, mentre la diffusione 
di dati sensibili o giudiziari è ammessa se prevista espressamente solo da una norma di legge. 
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3. Pubblicazione di dati personali ulteriori (art. 4, comma 3, del d. lgs. 
n. 33/2013) 
Dati ulteriori: ob- 


Le pubbliche amministrazioni non sono libere di diffondere «dati  \ji5o di anonimiz- 
personali» ulteriori, non individuati dal d. lgs. n. 33/2013 o da altra specifi- zazione dei dati la 
: . . cui pubblicazione 

ca norma di legge o di regolamento (art. 19, comma 3, del Codice). ui iii 


L'eventuale pubblicazione di dati, informazioni e documenti, che  d.Igsn.33/20130 
non si ha l’obbligo di pubblicare, è legittima solo «procedendo alla anoni- a i 
mizzazione dei dati personali eventualmente presenti» (art. 4, comma 3, del legge o di regola- 
d. lgs. n. 33/2013). ici 
In proposito, si evidenzia che la prassi seguita da alcune amministra- 
zioni di sostituire il nome e cognome dell’interessato con le sole iniziali è 
di per sé insufficiente ad anonimizzare i dati personali contenuti negli atti e 
documenti pubblicati online. Inoltre, il rischio di identificare l’interessato è 
tanto più probabile quando, fra l’altro, accanto alle iniziali del nome e co- 
gnome permangono ulteriori informazioni di contesto che rendono comun- 
que identificabile l'interessato (si pensi, ad esempio, alle informazioni rela- 
tive alla residenza oppure quando si possiede un doppio nome e/o un dop- n... 
pio cognome). ficiente sostituire il 
In molti casi, infatti, in particolari ambiti (ad es., per campioni di po- e il'interezsato con 
polazioni di ridotte dimensioni), la pubblicazione online anche solo di al-  lerelative iniziali 
cuni dati —come la data di nascita, il sesso, la residenza, il domicilio, il co- 
dice di avviamento postale, il luogo di lavoro, il numero di telefono, la 
complessiva vicenda oggetto di pubblicazione, etc. è sufficiente a indivi- 
duare univocamente la persona cui le stesse si riferiscono e, dunque, a ren- 
dere tale soggetto identificabile mediante il collegamento con altre infor- 
mazioni che possono anche essere nella disponibilità di terzi o ricavabili da 
altre fonti. 
Per rendere effettivamente «anonimi»® i dati pubblicati online occor- 
re, quindi, oscurare del tutto il nominativo e le altre informazioni riferite 
all'interessato che ne possono consentire l’identificazione anche a poste- 
riori . 


° Ai sensi del Codice «dato anonimo» è «il dato che în origine, o a seguito di trattamento, non può 
essere associato ad un interessato identificato o identificabile» (art. 4, comma 1, lett. n). 

? In proposito, va considerato che ottenere dati effettivamente ‘anonimi’ è sempre più difficile 
stante l’avanzare delle tecnologie informatiche e la crescente e diffusa mole di informazioni disponibili 
online e offline che aumenta progressivamente il rischio per gli interessati di essere re-identificati. Per un 
esame delle tecniche con cui anonimizzare i dati si rimanda al Parere del Gruppo Art. 29 n. 6/2013 su dati 
aperti e riutilizzo delle informazioni del settore pubblico, sez. VI 
(http://{www.garanteprivacy.it/documents/10160/2133805/WP207). Sul tema v. anche il codice di condot- 
ta «Anonymisation: Managing data protection risk code of practice» pubblicato dall’Information Com- 
missioner'’s Office del Regno Unito nel novembre 2012 (/4ttp://ico.org.uk/for_organisations/data_prot 
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4. Qualità delle informazioni (art. 6 del d. lgs. n. 33/2013) 


L’art. 6 del d. lgs. n. 33/2013 sancisce che «Le pubbliche ammini- 
strazioni garantiscono la qualità delle informazioni riportate nei siti istitu- 
zionali nel rispetto degli obblighi di pubblicazione previsti dalla legge, as- 
sicurandone l’integrità, il costante aggiornamento, la completezza, la tem- 
pestività, la semplicità di consultazione, la comprensibilità, l’omogeneità, 
la facile accessibilità, nonché la conformità ai documenti originali in pos- 
sesso dell’amministrazione, l’indicazione della loro provenienza e la riuti- 
lizzabilità secondo quanto previsto dall'articolo 7» e che «L'esigenza di 
assicurare adeguata qualità delle informazioni diffuse non può, in ogni ca- 
so, costituire motivo per l’omessa o ritardata pubblicazione dei dati, delle 
informazioni e dei documenti». 


Tale previsione deve essere interpretata anche alla luce dei principi e 
Obbligo di pubbli- 


in materia di protezione dei dati personali, per cui le pubbliche amministra- cazione di dati e- 


zioni sono, altresì, tenute a mettere a disposizione soltanto dati personali ra .. 
TL ZZAl 


esatti, aggiornati e contestualizzati (art. 11, comma 1, lett. c), del Codice). 

Le pubbliche amministrazioni titolari del trattamento devono, quindi, 
non solo controllare l’attualità delle informazioni pubblicate, ma anche 
modificarle o aggiornarle opportunamente, quando sia necessario all’esito 
di tale controllo e ogni volta che l’interessato ne richieda l’aggiornamento, 
la rettificazione oppure, quando vi abbia interesse, l’integrazione (art. 7, 
comma 3, lett. a), del Codice). 


5. Modalità di pubblicazione online dei dati personali (art. 7 del d. lgs. 
n. 33/2013) 


L’art. 7 del d. lgs. n. 33/2013 prevede che «/ documenti, le informa- 
zioni e i dati oggetto di pubblicazione obbligatoria ai sensi della normativa 
vigente, resi disponibili anche a seguito dell’accesso civico di cui 
all’articolo 5, sono pubblicati in formato di tipo aperto ai sensi 
dell’articolo 68 del Codice dell’amministrazione digitale, di cui al decreto 
legislativo 7 marzo 2005, n. 82, e sono riutilizzabili ai sensi del decreto le- 
gislativo 24 gennaio 2006, n. 36, del decreto legislativo 7 marzo 2005, n. 
82, e del decreto legislativo 30 giugno 2003, n. 196, senza ulteriori restri- 
zioni diverse dall’obbligo di citare la fonte e di rispettarne l'integrità». 


ection/topic_guides/-/media/documents/library/Data_Protection/Practical_application/anonymisation- 
codev2.pdf) e le Linee guida «Gestion des risques vie privée» della Commission Nationale de 
l’Informatique et des Libertés (CNIL) del giugno 2012 (in Attp://www.cnil.fr/linstitution/actualite/article/ 
article/les-guides-de-gestion-des-risques-sur-la-vie-privee-sont-disponibles-en-anglais/?tx_ttnews%5Bb 
ackPid%5D=91&cHash=fadc2817230d10784c18391f8fbc6082). La questione relativa alle diverse tecni- 
che di anonimizzazione disponibili è peraltro ancora all’attenzione del Gruppo Art. 29 il quale è in pro- 
cinto di fornire specifiche indicazioni al riguardo. 
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La disposizione citata persegue, peraltro, lo scopo di non obbligare 
gli utenti a dotarsi di programmi proprietari o a pagamento per la fruizione 
—e, quindi, per la visualizzazione— dei file contenenti i dati oggetto di pub- 
blicazione obbligatoria. Infatti, il «formato di tipo aperto» è «un formato di 
dati reso pubblico, documentato esaustivamente e neutro rispetto agli 
strumenti tecnologici necessari per la fruizione dei dati stessi» (art. 68, 
comma 3, lett. a), del d. lgs. 7 marzo 2005, n. 82, Codice 
dell’amministrazione digitale-CAD)'. 

Con riferimento ai dati personali (dal novero dei quali sono esclusi i ica 
dati delle persone giuridiche, enti e associazioni non riconosciute, nonché i stinguere fra. 
dati anonimi o aggregati; cfr. la definizione contenuta nell’art. 4, comma 1, _.. Li 
lett. 5), del Codice), si rappresenta, quindi, che l’obbligo di pubblicazione tipo aperto 
in «formato di tipo aperto» non comporta che tali dati, pubblicati sui siti 
web istituzionali in ottemperanza agli obblighi di trasparenza, siano anche 
«dati di tipo aperto» nei termini definiti dal CAD’. 

Occorre, infatti, tenere distinto il concetto di «formato di tipo aper- 
to» avente il significato sopra descritto, da quello di «dato di tipo aperto» 
che attiene, invece, più propriamente alla disponibilità unita alla riutilizza- 
bilità del dato da parte di chiunque, anche per finalità commerciali e in 
formato disaggregato (art. 52, comma 2, e art. 68, comma 3, lett. 5), del 
CAD). 

Da ciò consegue che i dati personali oggetto di pubblicazione obbli- 
gatoria non sono liberamente riutilizzabili da chiunque per qualsiasi ulterio- 
re finalità, come meglio specificato nel paragrafo seguente. 


8 A mero titolo esemplificativo sono considerati file in formato aperto, fra gli altri, quelli dei file 
che nei sistemi personal computer sono usualmente registrati con estensione txt, pdf, xml. Sulla tipologia 
dei diversi «formati di tipo aperto» si rinvia alle citate «Linee guida nazionali per la valorizzazione del 
patrimonio informativo pubblico», par. 6.2, pagg. 51 ss. 

° Ai sensi dell’art. 68, comma 3, lett 5), del CAD sono «dati di tipo aperto» quei dati che presenta- 
no le seguenti tre caratteristiche: 

«I) sono disponibili secondo i termini di una licenza che ne permetta l'utilizzo da parte di chiun- 
que, anche per finalità commerciali, in formato disaggregato; 

2) sono accessibili attraverso le tecnologie dell’informazione e della comunicazione, ivi comprese 
le reti telematiche pubbliche e private, in formati aperti ai sensi della lettera a), sono adatti all'utilizzo 
automatico da parte di programmi per elaboratori e sono provvisti dei relativi metadati; 

3) sono resi disponibili gratuitamente attraverso le tecnologie dell’informazione e della comuni- 
cazione, ivi comprese le reti telematiche pubbliche e private, oppure sono resi disponibili ai costi margi- 
nali sostenuti per la loro riproduzione e divulgazione. L'Agenzia per l’Italia digitale deve stabilire, con 
propria deliberazione, i casi eccezionali, individuati secondo criteri oggettivi, trasparenti e verificabili, 
in cui essi sono resi disponibili a tariffe superiori ai costi marginali. In ogni caso, l’Agenzia, nel tratta- 
mento dei casi eccezionali individuati, si attiene alle indicazioni fornite dalla direttiva 2003/98/CE del 
Parlamento europeo e del Consiglio, del 17 novembre 2003, sul riutilizzo dell’informazione del settore 
pubblico, recepita con il decreto legislativo 24 gennaio 2006, n. 36». 


— 16 — È 
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6. Limiti al «riutilizzo» di dati personali (artt. 4 e 7 del d. lgs. n. 
33/2013) 


Gli artt. 4 e 7 del d. Igs. n. 33/2013 stabiliscono che il riutilizzo dei 
dati personali pubblicati è soggetto alle condizioni e ai limiti previsti dalla Limiti al riutilizzo 
do i ua . Ù 3 x ; Ù — . dei dati personali 
disciplina sulla protezione dei dati personali e dalle specifiche disposizioni pubblicati online 
del d. Igs. del 24 gennaio 2006 n. 36 di recepimento della direttiva 
2003/98/CE sul riutilizzo dell’informazione del settore pubblico!°. Tale di- 
rettiva è stata oggetto di recente revisione (v. direttiva 2013/37/UE entrata 
in vigore dopo l'approvazione del decreto legislativo sulla trasparenza! '). 
Con la modifica della predetta direttiva, l'Unione europea conferma 
il principio, da ritenersi ormai consolidato in ambito europeo!”, in base al 
quale il riutilizzo di tali documenti non deve pregiudicare il livello di tutela 
delle persone fisiche con riguardo al trattamento dei dati personali fissato 
dalle disposizioni di diritto europeo e nazionale in materia. In particolare, 
le nuove disposizioni della direttiva introducono specifiche eccezioni al riu- 
tilizzo fondate sui principi di protezione dei dati, prevedendo che una serie 
di documenti del settore pubblico contenenti tale tipologia di informazioni 
siano sottratti al riuso anche qualora siano liberamente accessibili online!*. 
Ciò significa che il principio generale del libero riutilizzo di docu- 
menti contenenti dati pubblici", stabilito dalla disciplina nazionale ed eu- 
ropea, riguarda essenzialmente documenti che non contengono dati perso- 


!0 Direttiva 2003/98/CE del 17 novembre 2003 del Parlamento europeo e del Consiglio relativa al 
riutilizzo dell’informazione del settore pubblico. 

!! Direttiva 2013/37/UE del 26 giugno 2013 che modifica la direttiva 2003/98/CE del Parlamento 
europeo e del Consiglio relativa al riutilizzo dell’informazione del settore pubblico. 

!° Cfr., ad esempio, le indicazioni contenute nel documento «Open Data Handbook» dell'Open 
Knowledge Foundation (http://opendatahandbook.org/pdf/OpenDataHandbook.pdf), una fondazione non 
governativa che ha lo scopo di promuovere l’apertura dei contenuti e i dati aperti attraverso gruppi di la- 
voro internazionali (pag. 6). 

!3 Art. 1, par. 4, dir. 2003/98/CE, come modificato dall’art. 1, par. 1, lett. c), dir. 2013/37/UE; cfr. 
art. 4, comma 1, lett. a), del d. lgs. n. 36/2006. 

!4 Art. 1, par. 2, lett. c-quater) dir. 2003/98/CE, come modificato dall’art. 1, par. 1, lett. a), punto 
iii), dir. 2013/37/UE. V. anche Gruppo Art. 29, Parere n. 6/2013 cit., sez. V. 

!5 Per dati pubblici si intendono dati conoscibili da chiunque (art. 1, comma 1, lett. n), del CAD), 
ma come, peraltro, specificato anche nelle Linee guida nazionali per la valorizzazione del patrimonio in- 
formativo pubblico dell’ AgID, cit., par. 3.3, pag. 28 «Il concetto di dato pubblico esclude, in linea gene- 
rale, i dati personali per i quali trovano applicazione le norme del “Codice in materia di protezione dei 
dati personali” (i.e., D. lgs. n. 196/2003 e deliberazione n. 88/2011 dell’Autorità Garante per la prote- 
zione dei dati personali). Laddove, in un contesto informativo, il dato pubblico contiene riferimenti 0 è 
collegato a dati personali trova applicazione il comma 5 dell’articolo 2 del CAD “Le disposizioni del 
presente codice si applicano nel rispetto della disciplina rilevante in materia di trattamento dei dati per- 
sonali e, in particolare, delle disposizioni del codice in materia di protezione dei dati personali approva- 
to con decreto legislativo 30 giugno 2003, n. 196. I cittadini e le imprese hanno, comunque, diritto ad ot- 
tenere che il trattamento dei dati effettuato mediante l’uso di tecnologie telematiche sia conformato al 
rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato” o altre norme speci- 
fiche che consentono la pubblicazione di certe tipologie di informazioni, come ad esempio le norme sulla 
trasparenza come prima descritto (D. Igs. n. 33/2013)». 
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nali oppure riguarda dati personali opportunamente aggregati e resi anoni- 
mi!° 

In altri termini, il semplice fatto che informazioni personali siano re- 
se pubblicamente conoscibili online per finalità di trasparenza non compor- 
ta che le stesse siano liberamente riutilizzabili da chiunque e per qualsiasi 
scopo, bensì impone al soggetto chiamato a dare attuazione agli obblighi di 
pubblicazione sul proprio sito web istituzionale di determinare —qualora in- 
tenda rendere 1 dati riutilizzabili se, per quali finalità e secondo quali limi- 
ti e condizioni eventuali utilizzi ulteriori dei dati personali resi pubblici 
possano ritenersi leciti alla luce del «principio di finalità» e degli altri prin- 
cipi di matrice europea in materia di protezione dei dati personali". 

In particolare, in attuazione del principio di finalità di cui all’art. 11 
del Codice, il riutilizzo dei dati personali conoscibili da chiunque sulla base 
delle previsioni del d. lgs. n. 33/2013 non può essere consentito ‘in termini 
incompatibili” con gli scopi originari per i quali i medesimi dati sono resi 
accessibili pubblicamente (art. 7 del d. lgs. n. 33/2013, art. 6, comma 1, 
lett. 5), direttiva 95/46/CE; art. 11, comma 1, lett. 5), del Codice)". 

Pertanto, al fine di evitare di perdere il controllo sui dati personali opportunità di in- 
pubblicati online in attuazione degli obblighi di trasparenza e di ridurre i ri-  serire specifici a- 

Dar sa LE 5 sò È P lert sui siti web 
schi di loro usi indebiti, è quindi in primo luogo opportuno che le pubbliche 
amministrazioni e gli altri soggetti chiamati a dare attuazione agli obblighi 
di pubblicazione di cui al d. lgs. n. 33/2013 inseriscano nella sezione de- 
nominata «Amministrazione trasparente» dei propri siti web istituzionali un 
alert generale con cui si informi il pubblico che i dati personali pubblicati 
sono «riutilizzabili solo alle condizioni previste dalla normativa vigente sul 
riuso dei dati pubblici (direttiva comunitaria 2003/98/CE e d. lgs. 36/2006 
di recepimento della stessa), in termini compatibili con gli scopi per i quali 
sono stati raccolti e registrati, e nel rispetto della normativa in materia di 
protezione dei dati personali». 

Al riguardo, si rappresenta che una volta effettuata la pubblicazione dacia 
online dei dati personali prevista dalla normativa in materia di trasparenza, personali solo a 
il soggetto pubblico può rendere riutilizzabili tali dati o accogliere eventua- i a 
li richieste di riutilizzo degli stessi da parte di terzi, solamente dopo avere privacy 
effettuato una rigorosa valutazione d’impatto in materia di protezione dei 
dati, al fine di ridurre il rischio di perdere il controllo sulle medesime in- 


16 Cfr. Gruppo Art. 29, Parere n. 6/2013 cit., sez. VI e Linee guida nazionali per la valorizzazione 
del patrimonio informativo pubblico dell’AgID, cit., par. 3.3, pag. 28. 

!7 Cfr. Parere del Garante del 7 febbraio 2013, doc. web. n. 2243168, par. 6; v. anche considerando 
n. 21 dir. 2003/98/CE e considerando n. 11 e n. 34, dir. 2013/37/UE; Corte di Giustizia UE, 16/12/2008, 
C-73/07, Tietosuojavaltuutettu v. Satakunnan Markkinapòrssi Oy and Satamedia Oy, punto 48; Gruppo 
Art. 29, Parere n. 6/2013, cit., sez. IV. 

!8 Per valutare se i dati personali pubblicamente disponibili online possono essere utilizzati per ul- 
teriori scopi in termini compatibili con quelli originari, si vedano gli elementi condivisi in ambito europeo 
ed elaborati dal Gruppo Art. 29 nel Parere n. 3/2013 sul principio di limitazione della finalità 
(Attp://www.garanteprivacy.it'documents/10160/2133805/WP203). 
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formazioni o di dover far fronte a richieste di risarcimento del danno da 
parte degli interessati!’. Tale valutazione deve essere volta a: 

a) stabilire se è lecito, alla luce dell’esistenza di un presupposto nor- 
mativo idoneo, che i dati personali pubblicamente accessibili sui siti web 
istituzionali possano essere riutilizzati da terzi e per scopi ulteriori (art. 11, 
comma 1, lett. a) e 5), del Codice); 

b) in caso di valutazione positiva, occorre poi verificare se l’utilizzo 
ulteriore di questi dati possa essere consentito: 

- limitatamente ai dati rielaborati in forma anonima e aggregata, in- 
dividuando il livello appropriato di aggregazione e la specifica 
tecnica di anonimizzazione da utilizzare sulla base di una pondera- 
ta valutazione del rischio di re-identificazione degli interessati op- 
pure rispetto a tutti o soltanto ad alcuni dei dati personali resi pub- 
blici (cfr. artt. 3 e 11, lett. d), del Codice)”; 

- per qualsiasi scopo ulteriore o solo per taluni scopi determinati 
(art. 11, comma 1, lett. 5), del Codice); 

- secondo modalità di messa a disposizione online conformi ai prin- 
cipi di necessità, proporzionalità e pertinenza (artt. 3 e 11 del Co- 
dice)}; 

- a condizione che gli utilizzatori adottino modalità tecniche e ri- 
spettino specifici vincoli giuridici definiti in apposite licenze pre- 


!° Cfr. Gruppo Art. 29, Parere n. 6/2013, cit., sez. IV e VII.; v. anche i commenti del Garante euro- 
peo per la protezione dei dati in risposta alla consultazione pubblica avviata dalla Commissione europea 
sulle linee guida riguardanti le licenze standard raccomandate, i set di dati e l’imposizione di un corri- 
spettivo in denaro per il riutilizzo, in attuazione del considerando n. 36 della dir. 2013/37/UE cit. 
(Attps.//secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comment 
s/2013/13-11-22 Comments_public_sector_EN.pdf). 

20 AI riguardo, il mero rinvio alla disciplina generale sul riutilizzo dei dati pubblici (d. lgs. n. 
36/2006 e dir. 2003/98/CE) non può costituire una base giuridica idonea a consentire il riutilizzo dei dati 
personali contenuti nei documenti degli organismi pubblici, essendo, invece, necessario verificare non 
solo se esiste una norma di settore che preveda specificamente la diffusione al pubblico di tali informa- 
zioni, ma anche se e in quali termini in base a tale previsione sia consentito qualsiasi ulteriore trattamento 
(v. art. 7 del d. lgs. n. 33/2013 e cfr. Gruppo Art. 29, Parere n. 6/2013, cit., specie sez. IV e par. 7.5, Pare- 
re n. 3/2013, cit., specie sez. III.2, e All. n. 2). 

2! Come detto, il tema della difficoltà di ottenere dati personali effettivamente ‘anonimi’ che impe- 
discano la re-identificazione degli interessati è stato oggetto degli interventi di alcune autorità nazionali di 
protezione dei dati ed è attualmente all’attenzione del Gruppo ex Art. 29 (v. supra nota 7 e Parere del 
Gruppo Art. 29 n. 6/2013 cit., sez. VI). 

22 Ad esempio, per fini commerciali e/o non commerciali. 

23 Ciò sulla base di una rigorosa ponderazione dei rischi di utilizzi impropri e degli effetti negativi 
che possono derivare agli interessati, tenuto conto delle tipologie di informazioni oggetto di successivo 
trattamento, delle finalità per le quali esso può essere effettuato, delle categorie di potenziali utilizzatori e 
degli strumenti utilizzabili. Si fa riferimento in particolare all’adozione di accorgimenti tecnici e giuridici 
di messa a disposizione dei dati che garantiscano, fra l’altro, l'esattezza e l’aggiornamento delle informa- 
zioni rese disponibili, l’ulteriore utilizzo dei dati per finalità e con modalità compatibili con lo scopo ini- 
ziale della pubblicazione, la messa a disposizione dei dati per un periodo di tempo limitato e la loro tem- 
pestiva cancellazione una volta trascorso tale periodo, nonché l’esercizio dei diritti dell’interessato (com- 
preso il diritto di chiederne la rettifica, l'aggiornamento o la cancellazione) riguardo ai dati personali resi 
disponibili per il riutilizzo (art. 6 della direttiva 95/46/CE; artt. 3 e 11, del Codice. Cfr. Gruppo Art. 29, 
Parere n. 6/2013, cit., sez. VII). 
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disposte al fine di individuare idonee cautele per tutelare i diritti 
degli interessati nei successivi trattamenti di dati a fini di riutiliz- 
zo”. 

All’interno del quadro generale delineato, è illecito, ad esempio, riu- 
tilizzare a fini di marketing o di propaganda elettorale i recapiti e gli indi- 
rizzi di posta elettronica del personale della p.a. oggetto di pubblicazione 
obbligatoria, in quanto tale ulteriore trattamento deve ritenersi incompatibi- 
le con le originarie finalità di trasparenza per le quali i dati sono resi pub- 
blicamente disponibili. Lo scopo perseguito dalle disposizioni che impon- 
gono la pubblicazione dei dati del personale, infatti, seppure non espressa- 
mente indicato, è quello di aiutare i consociati a individuare i soggetti e i 
recapiti da contattare per presentare istanze o ottenere informazioni relative 
a procedimenti di competenza delle pubbliche amministrazioni (ad es., art. 
35, d. lgs. n. 33/2013). Di conseguenza, il personale interessato, tenuto con- 
to del contesto in cui i dati che lo riguardano sono stati raccolti, non po- 
trebbe ragionevolmente prevedere che questi possano essere utilizzati per 
scopi non collegati alle proprie attività lavorative”. 

In ogni caso, nella valutazione d’impatto sopra delineata, è necessa- 
rio tener conto che, anche alla luce di un’intepretazione sistematica delle 
disposizioni del decreto sulla trasparenza, i dati personali sensibili e giudi- 
ziari sono espressamente esclusi dal riutilizzo (art. 4, comma 1, e art. 7 del 
d. lgs. n. 33/2013). 

Va tenuto presente, inoltre, che non è ammesso l’incondizionato riu- 
tilizzo di dati personali oggetto di pubblicazione obbligatoria sulla base di 
mere licenze aperte che non pongano alcuna limitazione all’ulteriore trat- 
tamento dei dati’°. Laddove, infatti, il soggetto che ha assolto gli obblighi 
di pubblicazione dei dati personali online voglia rendere gli stessi —dopo 
avere effettuato la predetta valutazione d’impatto privacy- anche riutilizza- 
bili, è invece indispensabile che lo stesso predisponga sul proprio sito isti- 
tuzionale licenze standard”, in formato elettronico e rese facilmente cono- 
scibili ai potenziali utilizzatori, le quali stabiliscano chiaramente le modali- 
tà di carattere giuridico e tecnico che presiedono al corretto riutilizzo di tali 
dati”. 


2 Le condizioni di riutilizzo cui si fa riferimento dovrebbero riguardare in particolare le questioni 
relative alle responsabilità in capo agli utilizzatori e alle modalità che garantiscono un uso corretto dei da- 
ti sotto il profilo del rispetto dei diritti delle persone cui questi si riferiscono. Cfr. art. 8, comma 2, d. lgs. 
n. 36/2006; v. anche art. 8 dir. 2003/98/CE così come modificato dall’art. 1, par. 8 della dir. 2013/37/UE 
e Gruppo Art. 29, Parere n. 6/2013 cit., sezioni VII e X. 

5 Cfr. Gruppo Art. 29, Parere n. 6/2013, cit., par. 7.6. 

2% Cfr. Gruppo Art. 29, Parere n. 6/2013, cit., par. 10.4. 

27 Sulle licenze standard si rinvia agli artt. 2, comma 1, lett. 4), 5, comma 1, e 8, comma 1, del d. 
lgs. n. 36/2006; v. anche art. 8, della dir. 2003/98/CE così come modificato dall’art. 1, par. 8, della dir. 
2013/37/UE. 

28 Tale esigenza è peraltro imprescindibile al fine di non ingenerare equivoci sulla legittimità del 
riutilizzo dei dati personali pubblicati online, stante la disposizione del Codice dell’amministrazione digi- 
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In proposito, per garantire il rispetto dei diritti degli interessati da 

parte degli utilizzatori, i termini delle licenze per il riutilizzo dovrebbero 
contenere una clausola di protezione dei dati sia quando il riuso riguardi 
dati personali, sia quando riguardi dati anonimi derivati da dati personali”. 
Nel primo caso, le condizioni di licenza dovrebbero indicare chiaramente le 
finalità e le modalità degli ulteriori trattamenti consentiti. Nel secondo caso 
tali condizioni dovrebbero, invece, vietare ai titolari delle licenze di re- 
identificare gli interessati e di assumere qualsiasi decisione o provvedimen- 
to che possa riguardarli individualmente sulla base dei dati personali così 
ottenuti, nonché prevedere in capo ai medesimi titolari l’obbligo di infor- 
mare l’organismo pubblico nel caso in cui venisse rilevato che gli individui 
interessati possano essere o siano stati re-identificati*”. 

Infine, dal punto vista tecnico, è importante considerare con atten- TO 
zione quali accorgimenti tecnologici possono essere messi in atto per ridur- ci} 
re i rischi di usi impropri dei dati personali resi disponibili online e delle. nici per ridurre il 

: : E : rischio di riutilizzo 
conseguenze negative che possono derivarne agli interessati. In questo ;mproprio di dati 
quadro devono essere privilegiate modalità tecniche di messa a disposizio- personali 
ne dei dati a fini di riutilizzo che consentano di controllare gli accessi a tali 
dati da parte degli utilizzatori e che impediscano la possibilità di scaricare o 
di duplicare in maniera massiva e incondizionata le informazioni rese di- 
sponibili, nonché l’indiscriminato utilizzo di software o programmi auto- 
matici” . 


tale in base alla quale, nel rispetto dalla disciplina in materia di trattamento dei dati personali (art. 2, 
comma 5, d. lgs. n. 82/2005), qualunque informazione o documento pubblicato dall’amministrazione con 
qualsiasi modalità, senza l’espressa adozione di una licenza, si intende rilasciato come «dato di tipo aper- 
to», disponibile al riutilizzo gratuito da parte di chiunque, anche per finalità commerciali, e in formato 
aperto e disaggregato (artt. 52, comma 2, e 68, comma 3, ivî). 

Tali accorgimenti sono volti, nel primo caso, a evitare che i dati personali accessibili online sia- 
no riutilizzati in termini incompatibili con gli scopi originari e, nel secondo, a garantire che questi siano 
effettivamente utilizzati in forma anonima e aggregata. 

3° Cfr. Gruppo Art. 29, Parere n. 6/2013, cit., sez. X. Cfr. anche i sopra citati commenti del Garan- 
te europeo per la protezione dei dati in risposta alla consultazione pubblica avviata dalla Commissione 
europea sulle linee guida previste dal considerando n. 36 della dir. 2013/37/UE. 

3! A titolo esemplificativo, è possibile utilizzare a questo scopo sistemi di verifica ‘captcha’ o in- 
terfacce personalizzate con funzionalità di accesso ai dati limitato (ad es., previa registrazione dell’utente 
oppure limitando le interrogazioni eseguibili sui data base accessibili online o la quantità e il tipo di dati 
ottenibili); oppure sistemi di web publishing e Cms (Content management systems) in grado di associare 
ai dati resi pubblici, anche mediante l’utilizzo di parole-chiave (meta-dati), regole di accesso e di utilizzo 
dei dati che consentono di regolarne la permanenza all’interno del sito istituzionale, consentendone anche 
la loro agevole rimozione, anche in forma automatica, al verificarsi di determinati eventi quali intervalli 
temporali o soglie di accessi online. In assenza di meccanismi automatizzati di gestione del termine di 
scadenza dei dati sul sito istituzionale, andrebbero inoltre previste procedure di verifica della validità 
temporale e del requisito di disponibilità al pubblico delle informazioni, da programmare con cadenza pe- 
riodica o in seguito a un aggiornamento delle informazioni. 


—_ 21-É 


12-6-2014 Supplemento ordinario n. 43 alla GAZZETTA UFFICIALE Serie generale - n. 134 


7. Durata degli obblighi di pubblicazione (artt. 8, 14, comma 2, 15, 
comma 4, del d. lgs. n. 33/2013) 


L’art. 8, comma 3, del d. lgs. n. 88/2013 prevede che i dati, le infor- 
mazioni e i documenti oggetto di pubblicazione «sono pubblicati per un i 
periodo di 5 anni, decorrenti dal 1° gennaio dell’anno successivo a quello 
da cui decorre l’obbligo di pubblicazione, e comunque fino a che gli atti 
pubblicati producono i loro effetti, fatti salvi i diversi termini previsti dalla 
normativa în materia di trattamento dei dati personali e quanto previsto 
dagli articoli 14, comma 2, e 15, comma 4». 

Ai sensi di tale disposizione, dunque, il periodo di mantenimento di 
dati, informazioni e documenti sul web coincide in linea di massima con il 
termine di cinque anni. Biecezioni alla du: 

Sono tuttavia espressamente previste deroghe alla predetta durata Fira 
temporale quinquennale: 

a) nel caso in cui gli atti producono ancora i loro effetti alla scadenza 
dei cinque anni, con la conseguenza che gli stessi devono rimanere pubbli- 
cati fino alla cessazione della produzione degli effetti; 

b) per alcuni dati e informazioni riguardanti i «titolari di incarichi 
politici, di carattere elettivo o comunque di esercizio di poteri di indirizzo 
politico, di livello statale regionale e locale» (art. 14, comma 2) e 1 «titola- 
ri di incarichi dirigenziali e di collaborazione o consulenza» che devono 
rimanere pubblicati online per 1 tre anni successivi dalla cessazione del 
mandato o dell’incarico (art. 15, comma 4); 

c) nel caso in cui siano previsti «diversi termini» dalla normativa in 
materia di trattamento dei dati personali. In merito, si evidenzia come il 
Codice —che non prevede termini espliciti (come già evidenziato dal Garan- 
te nel parere del 7 febbraio 2013*)- richiede espressamente che i dati per- 
sonali devono essere «conservati per un periodo di tempo non superiore a 
quello necessario agli scopi per i quali essi sono stati raccolti o successi- 
vamente trattati» e che l’interessato ha diritto di ottenere la cancellazione 
dei dati personali «di cui non è necessaria la conservazione in relazione 
agli scopi per i quali sono stati raccolti o successivamente trattati» (artt. 
11, comma 1, lett. e), e 7, comma 3, lett. b), del Codice). Tali articoli rece- 
piscono, peraltro, le identiche disposizioni contenute nella direttiva 
95/46/CE relativa alla tutela delle persone fisiche con riguardo al tratta- 
mento dei dati personali** le quali, in quanto tali, non possono essere dero- 
gate dalla disciplina nazionale in virtù del primato del diritto europeo. Da 
tale principio, inoltre, discende l’obbligo di interpretare il diritto nazionale 


?2 Cfr. in particolare par. 7. 
33 Cfr. art. 6, par. 1, lett. e), e art. 12, par. 1, lett. 5), dir. 95/46/CE. 
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in maniera conforme al diritto europeo” e, nello specifico, alle disposizioni 

direttamente applicabili che impongono il rispetto dei principi di pertinen- 

za, necessità e proporzionalità, in base alle quali la pubblicazione di dati 

personali è consentita soltanto quando è al contempo necessaria e appro- 

priata rispetto all’obiettivo perseguito e, in particolare, quando l’obiettivo 

perseguito non può essere realizzato in modo ugualmente efficace con mo- 

dalità meno pregiudizievoli per la riservatezza degli interessati”. 

Per tale motivo, il Garante ritiene che laddove atti, documenti e in- 1 dati personali 

formazioni, oggetto di pubblicazione obbligatoria per finalità di trasparen- e 


za, contengano dati personali, questi ultimi devono essere oscurati, anche che prima della 


; . e . . ; ua: j . denza dei:cine 
prima del termine di cinque anni, quando sono stati raggiunti gli scopi per i “uc anni se sono 


quali essi sono stati resi pubblici e gli atti stessi hanno prodotto i loro effet- cessate le finalità 


del trattamento 


ti, 


7.a. Le sezioni di «archivio» dei siti web istituzionali (art. 9, comma 2, 
del d. lgs. n. 33/2013) 


L’art. 9, comma 2, del d. lgs. n. 33/2013 prevede che «A//a scadenza 
del termine di durata dell’obbligo di pubblicazione di cui all’articolo 8, 
comma 3, i documenti, le informazioni e i dati sono comunque conservati e 
resi disponibili, con le modalità di cui all’articolo 6, all’interno di distinte 
sezioni del sito di archivio, collocate e debitamente segnalate nell’ambito 
della sezione “Amministrazione trasparente”. I documenti possono essere 
trasferiti all’interno delle sezioni di archivio anche prima della scadenza 
del termine di cui all’articolo 8, comma 3». 

La disposizione richiamata richiede ai soggetti tenuti agli obblighi di 
pubblicazione di conservare e mettere a disposizione i documenti, le infor- 
mazioni e i dati all’interno della sezione di archivio dei siti web, eventual- 
mente anche prima che sia terminato il periodo di pubblicazione. 


#4 Cfr., in particolare, ex pluribus, le sentenze della Corte di Giustizia CE, 10 aprile 1984, causa 
14/83, Von Colson e Kamann, punto 26; 13 novembre 1990, C-106/89, Marleasing, punto 8; 16 dicembre 
1993, causa C-334/92, Wagner Miret, punto 20; 25 febbraio 1999, causa C-131/97, Carbonari, punto 48; 
5 ottobre 2004, C-397/01, Pfeiffer, punto 114; Corte di Giustizia CE, 29/1/2008, C-275/06, Productores 
de Musica de Espafia-Promusicae, punto 70. 

3 Cfr. art. 6, par. 1, lett. c), e art. 7, par.1, lett. c) e d), dir. 95/46/CE; artt. 3 e 11 del Codice. V. i- 
noltre, Corte di Giustizia CE, 20/5/2003, cause riunite C-465/00, C-138/01 e C-139/01 e Corte Costitu- 
zionale austriaca 28 novembre 2003, KR 1/00-33. (in Attp:/www.vfgh.at/cms/yfgh- 
site/attachments/3/8/6/CH0006/CMS1108403943433/kr1-33-00.pdf). Si ricorda che i principi di deriva- 
zione comunitaria richiamati soddisfano i requisiti dell’immediata applicabilità (cfr. la già citata sentenza 
della Corte di Giustizia CE, 20/5/2003, punti 98-100), con la conseguenza di obbligare, come già ricorda- 
to, non solo i giudici nazionali ma anche gli organi amministrativi a disapplicare la legislazione nazionale 
contrastante con la normativa comunitaria senza doverne attendere la rimozione in sede legislativa o per il 
tramite di impugnazioni di incostituzionalità (Corte cost. 11/7/1989, n 389; cfr. anche Corte di Giustizia 9 
marzo 1978 causa C-106/77). 
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Con riferimento alla documentazione contenente dati personali, si 
precisa che la predetta ipotesi di “messa a disposizione” della documenta- i 
zione nella sezione di archivio non comporta l’accesso e la conoscenza in- ne trasferita nella 
discriminata degli stessi una volta scaduti i diversi periodi di pubblicazione i ...- 
previsti dall’art. 8, comma 3, del d. Igs. n. 33/2013. Ciò perché, in caso zionale 
contrario, si determinerebbe una diffusione sine die di dati personali online 
in violazione dei principi contenuti nella normativa europea come quello di 
proporzionalità descritto nel paragrafo precedente”. Inoltre, sempre ragio- 
nando a contrario, la formazione della sezione archivio si trasformerebbe 
in un mero trasferimento di documenti, informazioni e dati da una parte 
all’altra dello stesso sito web e all’interno, peraltro, della stessa sezione 
«Amministrazione trasparente». 

Di conseguenza, per attuare le esigenze sottese alla prevista ipotesi di 
consultabilità di atti e documenti contenuti nella sezione archivio, non è in 
linea generale giustificato, alla luce del principio di proporzionalità, con- 
sentire, al di fuori dei casi espressamente previsti, l’accesso online libero e 
incondizionato alla consultazione di atti e documenti contenenti informa- 
zioni personali, specie se aventi natura sensibile, senza applicare criteri se- 
lettivi. 

In tale quadro, bisogna, quindi, rendere disponibile la documentazio- 
ne contenuta nelle sezioni di archivio secondo le regole sull’accessibilità 
degli “archivi”?”, individuando le condizioni di accesso e selezionando, a 
tal fine, anche preliminarmente, nell’ambito dei singoli atti e documenti, le 
informazioni da rendere consultabili. In tale prospettiva, si ritiene che le in- 
formazioni personali contenute in atti e documenti possano essere reperibili 
nelle sezioni di archivio, mediante modalità che ne garantiscano tra l’altro 
la «semplicità di consultazione» e la «facile accessibilità» (art. 6 del d. lgs. 
n. 33/2013)?5, attraverso, ad esempio, l’attribuzione alle persone che ne 
hanno fatto richiesta, nel rispetto delle predette regole, di una chiave perso- 
nale di identificazione informatica secondo le regole stabilite in materia dal 
Codice dell’amministrazione digitale. 

In alternativa, il Garante ritiene che è comunque possibile la libera In alternativa ren- 
consultazione da parte di chiunque della sezione di archivio a condizione l*T°3nemimi i dati 


contenuti nella se- 


che i soggetti destinatari degli obblighi di pubblicazione in materia di tra- Li ii 
À Ù n: da A » el sito web istitu- 
sparenza adottino opportune misure a tutela degli interessati avendo cura di zionale 


3° Cfr. artt. 6, 7 e 12 dir. 95/46/CE cit. Sul punto, peraltro, la Corte di Giustizia dell’Unione euro- 
pea (sent. 9/11/2010, cause riunite C-92/09 e C-93/09) ha dichiarato l’invalidità di un regolamento comu- 
nitario nella parte in cui imponeva la pubblicazione di dati personali di beneficiari di finanziamenti di 
fondi strutturali senza prevedere, fra l’altro, un limite temporale per la durata della stessa, commisurato ai 
periodi nel corso dei quali gli interessati hanno percepito gli aiuti. 

37 Cfr. artt. 124 ss., del d. Igs. 22/1/2004 n. 42. AI riguardo, vedi anche il Codice di deontologia e 
di buona condotta per i trattamenti di dati personali per scopi storici (all. A.2 del Codice in materia di 
protezione dei dati personali, Provv. n. 8/P/2001 del 14 marzo 2001, in G.U. 5 aprile 2001, n. 80). 

38 Articolo espressamente richiamato dall’art. 9, comma 2, del d. lgs. n. 33/2013. 
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rendere anonimi i dati personali contenuti nella documentazione inserita in 
archivio, fermo restando il rispetto delle disposizioni normative sulla tenuta 
degli “archivi” sopra richiamate. Sulle misure e sugli accorgimenti necessa- 
ri per l’anonimizzazione dei dati si rimanda alle indicazioni contenute su- 
pra in par. 3. 
Per espressa previsione normativa, infine, i dati e le informazioni Eccezione al tra- 
concernenti la situazione patrimoniale dei titolari di incarichi politici, di cui. Sf*Timento dei dati 


in archivio (ad es., 


al citato art. 14, non devono essere trasferiti nelle sezioni di archivio dei siti situazione patri- 
ANS . È i i . . oniale dei titolari 
web istituzionali alla scadenza del termine di pubblicazione (art. 14, com- incarichi di indi 


ma 2, del d. lgs. n. 33/2013). rizzo politico) 


8. Indicizzazione tramite motori di ricerca (art. 9, comma 1, del d. lgs. 
n. 33/2013) 


L’art. 9 del d. lgs. n. 33/2013 stabilisce che «Le amministrazioni non 
possono disporre filtri e altre soluzioni tecniche atte ad impedire ai motori 
di ricerca web di indicizzare ed effettuare ricerche all’interno della sezione 
“Amministrazione trasparente’). 

Si evidenzia che l’obbligo di indicizzazione nei motori generalisti 
durante il periodo di pubblicazione obbligatoria è limitato ai soli dati tassa- 
tivamente individuati ai sensi delle disposizioni in materia di trasparenza da 
collocarsi nella «sezione “Amministrazione trasparente”», con esclusione 
di altri dati che si ha l’obbligo di pubblicare per altre finalità di pubblicità 
diverse da quelle di «trasparenza», come esposto nell’«Introduzione» e 
nella parte seconda delle presenti Linee guida. 

Sono, fra l’altro, espressamente sottratti all’indicizzazione i dati Sen- | gati sensibili e 
sibili e i dati giudiziari (art. 4, comma 1, d. lgs. n. 33/2013). Pertanto, i giudiziari non pos- 
soggetti destinatari degli obblighi di pubblicazione previsti dal d. lgs. n. SNmoesee nd 
33/2013 devono provvedere alla relativa deindicizzazione tramite —ad e- 
sempio— l’inserimento di metatag noindex e noarchive nelle intestazioni 
delle pagine web o alla codifica di regole di esclusione all’interno di uno 
specifico file di testo (il file robots.txt) posto sul server che ospita il sito 
web configurato in accordo al Robot Exclusion Protocol (avendo presente, 
comunque, come tali accorgimenti non sono immediatamente efficaci ri- 
spetto a contenuti già indicizzati da parte dei motori di ricerca Internet, la 
cui rimozione potrà avvenire secondo le modalità da ciascuno di questi 
previste)”. 


3° Per approfondimenti, si consulti, a tal proposito, l’indirizzo web: http://www. robotstxt.org/.. 
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9. Indicazioni per specifici obblighi di pubblicazione 


9.a. Obblighi di pubblicazione dei curricula professionali (art. 10, 
comma 8, lett. 4), del d. Igs. n. 33/2013 et al.) 


La disciplina in materia di trasparenza prevede di rendere visibile al 
pubblico, rispetto a taluni soggetti, informazioni personali concernenti il 
percorso di studi e le esperienze professionali rilevanti, nella forma del cur- 
riculum redatto in conformità al vigente modello europeo (art. 10, comma 
8, lett. d)). 

Le ipotesi previste riguardano, ad esempio, i curricula professionali 

dei titolari di incarichi di indirizzo politico (art. 14), dei titolari di incarichi 
amministrativi di vertice, dirigenziali e di collaborazione o consulenza (art. 
15, comma |, lett. 5), nonché delle posizioni dirigenziali attribuite a perso- 
ne —anche esterne alle pubbliche amministrazioni— individuate discrezio- 
nalmente dall’organo di indirizzo politico senza procedure pubbliche di se- 
lezione, di cui all’art. 1, commi 39 e 40, della legge 6 novembre 2012, n. 
190 (art. 15, comma $), dei componenti degli organismi indipendenti di va- 
lutazione (art. 10, comma 8, lett. c), nonché dei dirigenti in ambito sanitario 
come individuati dall’art. 41, commi 2 e 3. 

Il riferimento del legislatore all’obbligo di pubblicazione del curricu- 

lum non può tuttavia comportare la diffusione di tutti i contenuti astratta- Evitare la pub- 

sdAla l sh l i blicazione di 
mente previsti dal modello europeo (rispondendo taluni di essi alle diverse dati personali 
esigenze di favorire l’incontro tra domanda e offerta di lavoro in vista della eccedenti e non 
valutazione di candidati oppure, nel corso del rapporto di lavoro, per ». 2A 
l'assegnazione dell’interessato a nuovi incarichi o per selezioni concernenti 
la progressione di carriera), ma solo di quelli pertinenti rispetto alle finalità 
di trasparenza perseguite. 

Prima di pubblicare sul sito istituzionale i curricula, il titolare del 
trattamento dovrà pertanto operare un’attenta selezione dei dati in essi con- 
tenuti, se del caso predisponendo modelli omogenei e impartendo opportu- 
ne istruzioni agli interessati (che, in concreto, possono essere chiamati a 
predisporre il proprio curriculum in vista della sua pubblicazione per le 
menzionate finalità di trasparenza). In tale prospettiva, sono pertinenti le 
informazioni riguardanti 1 titoli di studio e professionali, le esperienze lavo- 
rative (ad es., gli incarichi ricoperti), nonché ulteriori informazioni di carat- 
tere professionale (si pensi alle conoscenze linguistiche oppure alle compe- 
tenze nell’uso delle tecnologie, come pure alla partecipazione a convegni e 
seminari oppure alla redazione di pubblicazioni da parte dell’interessato). 
Non devono formare invece oggetto di pubblicazione dati eccedenti, quali 


ropeo 
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ad esempio 1 recapiti personali oppure il codice fiscale degli interessati, ciò 
anche al fine di ridurre il rischio di c.d. furti di identità?°. 

Deve inoltre essere garantita agli interessati la possibilità di aggior- 
nare periodicamente il proprio curriculum ai sensi dell’art. 7 del Codice” 
evidenziando gli elementi oggetto di aggiornamento. 


9.b. Obblighi di pubblicazione della dichiarazione dei redditi dei 
componenti degli organi di indirizzo politico e dei loro familiari (art. 
14 del d. Igs. n. 33/2013) 


L’art. 14 del d. Igs. n 33/2013 prevede la pubblicazione delle «di- 
chiarazioni di cui all’articolo 2, della legge 5 luglio 1982, n. 441, nonché 
le attestazioni e dichiarazioni di cui agli articoli 3 e 4 della medesima leg- 
ge, come modificata dal presente decreto, limitatamente al soggetto, al co- 
niuge non separato e ai parenti entro il secondo grado, ove gli stessi vi 
consentano»” 

Con riferimento all’obbligo di pubblicazione della dichiarazione dei i 
redditi, la predetta disposizione deve essere coordinata con le altre disposi-  [viarela pub 
zioni dello stesso d. lgs. n. 33/2013 (art. 4, comma 4), con i principi di per- dati personali 
tinenza e non eccedenza (art. 11, comma I, lett. 4), del Codice), nonché con " i 
le previsioni a tutela dei dati sensibili (art. 22 del Codice). ii se 

Pertanto, ai fini dell’adempimento del previsto obbligo di pubblica- redditi 
zione, risulta sufficiente pubblicare copia della dichiarazione dei redditi — 
dei componenti degli organi di indirizzo politico e, laddove vi acconsenta- 
no, del coniuge non separato e dei parenti entro il secondo grado— previo 
però oscuramento, a cura dell’interessato o del soggetto tenuto alla pubbli- 
cazione qualora il primo non vi abbia provveduto, delle informazioni ecce- 
denti e non pertinenti rispetto alla ricostruzione della situazione patrimonia- 
le degli interessati (quali, ad esempio, lo stato civile, il codice fiscale, la 
sottoscrizione, etc.), nonché di quelle dalle quali si possano desumere indi- 
rettamente dati di tipo sensibile, come, fra l’altro, le indicazioni relative a: 

- familiari a carico tra i quali possono essere indicati figli disabili; 

- spese mediche e di assistenza per portatori di handicap o per deter- Su di in- 
minate patologie; ST 

- erogazioni liberali in denaro a favore dei movimenti e partiti politici; 


4 V. Provv. del Garante del 16 luglio 2009 in materia di «Pubblica amministrazione: dirigenza e 
assenze e presenze del personale» (doc. web n. 1639950), e circolare del Dipartimento della funzione 
pubblica presso la Presidenza del Consiglio dei Ministri n. 3/2009. 

Ivi. 

4 In relazione all’ambito soggettivo di applicazione di tale articolo si rimanda alle indicazioni con- 
tenute nella Delibera CIVIT n. 65/2013 in tema di «Applicazione dell’art. 14 del d. lgs. n. 33/2013 — Ob- 
blighi di pubblicazione concernenti i componenti degli organi di indirizzo politico» del 31 luglio 2013, in 
http://www. civit.it/?p=9381. 
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- erogazioni liberali in denaro a favore delle organizzazioni non lucra- 
tive di utilità sociale, delle iniziative umanitarie, religiose, o laiche, 
gestite da fondazioni, associazioni, comitati ed enti individuati con 
decreto del Presidente del Consiglio dei ministri nei paesi non appar- 
tenenti all’OCSE; 

- contributi associativi versati dai soci alle società di mutuo soccorso 
che operano esclusivamente nei settori di cui all’art. 1 della 1. 15 a- 
prile 1886, n. 3818, al fine di assicurare ai soci medesimi un sussidio 
nei casi di malattia, di impotenza al lavoro o di vecchiaia, oppure, in 
caso di decesso, un aiuto alle loro famiglie; 

- spese sostenute per i servizi di interpretariato dai soggetti riconosciu- 
ti sordomuti ai sensi della 1. 26 maggio 1970, n. 381; 

- erogazioni liberali in denaro a favore delle istituzioni religiose; 

- scelta perla destinazione dell’otto per mille; 

- scelta perla destinazione del cinque per mille. 

Si ricorda che non possono essere pubblicati i dati personali del co- 
niuge non separato e dei parenti entro il secondo grado che non abbiano 
prestato il consenso alla pubblicazione delle attestazioni e delle dichiara- 
zioni di cui all’art. 14, comma 1, lett. f), del d. lgs. n. 33/2013. 


9.c. Obblighi di pubblicazione concernenti corrispettivi e compensi 
(artt. 15, 18 e 41, del d. lgs. n. 33/2013) 


La disciplina in materia di trasparenza prevede che informazioni 
concernenti l’entità di corrispettivi e compensi percepiti da alcune tipologie 
di soggetti formino oggetto di pubblicazione secondo le modalità previste 
dal d. lgs. n. 33/2013. Tra questi ultimi sono annoverati, ad esempio, i tito- 
lari di incarichi amministrativi di vertice, dirigenziali e di collaborazione o 
consulenza (cfr. artt. 15 e 41, commi 2 e 3), nonché i dipendenti pubblici 
cui siano stati conferiti o autorizzati incarichi (art. 18). 

Pertanto, ai fini dell'adempimento degli obblighi di pubblicazione, 
risulta proporzionato indicare il compenso complessivo percepito dai sin- 
goli soggetti interessati, determinato tenendo conto di tutte le componenti, 
anche variabili, della retribuzione. Non appare, invece, giustificato ripro- 
durre sul web la versione integrale di documenti contabili, i dati di dettaglio 
risultanti dalle dichiarazioni fiscali oppure dai cedolini dello stipendio di 
ciascun lavoratore” come pure l’indicazione di altri dati eccedenti riferiti a 


43 V. Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione 
del rapporto di lavoro in ambito pubblico del 14 giugno 2007. 


Serie generale - n. 134 


Non possono es- 
sere pubblicati i 
dati personali del 
coniuge e dei pa- 
renti che non han- 
no prestato il rela- 
tivo consenso 


È sproporzionato 
riprodurre sul web 
la versione integra- 
le di documenti 
contabili o i cedo- 
lini di pagamento 
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percettori di somme (quali, ad esempio, i recapiti individuali e le coordinate 
bancarie utilizzate per effettuare i pagamenti). 

Non risulta inoltre giustificata la pubblicazione di informazioni rela- 
tive alle dichiarazioni dei redditi dei dipendenti e dei loro familiari, ipotesi 
questa che la legge impone esclusivamente nei confronti dei componenti 
degli organi di indirizzo politico (art. 14, del d. lgs. n. 33/2013). 


9.d. Obblighi di pubblicazione concernenti i provvedimenti ammini- 
strativi relativi a concorsi e prove selettive per l’assunzione del 
personale e progressioni di carriera (art. 23 del d. lgs. n. 33/2013) 


L’art. 23 del d. lgs. n. 33/2013 prevede la pubblicazione obbligatoria 
di elenchi dei provvedimenti adottati dagli organi di indirizzo politico e dai Pubblicazione dei 
dirigenti, tra i quali vanno menzionati i provvedimenti finali dei procedi-  $0l provvedimenti 
l SE : . n > finali e rinvio alle 
menti relativi a concorsi e prove selettive per l’assunzione del personale e indicazioni conte- 


. ‘13° . : : : DANS) : : nute nel par. 3.b. 
progressioni di carriera. In attuazione di tale disposizione, di questi prov- | jeila seconda Dane 


vedimenti devono essere pubblicati solo gli elementi di sintesi, indicati nel delle presenti Linee 
guida 


comma 2, quali il contenuto, l’oggetto, l’eventuale spesa prevista e gli e- 
stremi dei principali documenti contenuti nel fascicolo del procedimento. 
Con particolare riferimento ai provvedimenti finali adottati all’esito 
dell’espletamento di concorsi oppure di prove selettive non devono formare 
quindi oggetto di pubblicazione, in base alla disposizione in esame, gli atti 
nella loro veste integrale contenenti (anche in allegato), le graduatorie for- 
mate a conclusione del procedimento, né le informazioni comunque con- 
cernenti eventuali prove intermedie che preludono all’adozione dei provve- 
dimenti finali (per i quali restano salve altre forme di conoscibilità previste 
dall’ordinamento: v. in merito, con riguardo alle forme di pubblicità delle 
graduatorie e degli altri atti riguardanti i concorsi, le prove selettive e le 
progressioni di carriera, le indicazioni contenute nel par. 3.b. della seconda 
parte delle presenti Linee guida). 


9.e. Obblighi di pubblicazione degli atti di concessione di sovvenzioni, 
contributi, sussidi e attribuzione di vantaggi economici e dell’elenco dei 
soggetti beneficiari (artt. 26 e 27 del d. lgs. n. 33/2013) 


L’art. 26, comma 2, del d. lgs. n. 33/2013 stabilisce l’obbligo di pub- 
blicazione degli atti di concessione «delle sovvenzioni, contributi, sussidi 
ed ausili finanziari alle imprese, e comunque di vantaggi economici di qua- 
lunque genere a persone ed enti pubblici e privati ai sensi del citato artico- 
lo 12 della legge n. 241 del 1990, di importo superiore a mille euro». Il 
comma 3 del medesimo articolo aggiunge che tale pubblicazione «costitui- 
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sce condizione legale di efficacia dei provvedimenti che dispongano con- 
cessioni e attribuzioni di importo complessivo superiore a mille euro nel 
corso dell’anno solare al medesimo beneficiario». 
Per le predette pubblicazioni è prevista l’indicazione delle seguenti 
informazioni: a) il nome dell’impresa o dell’ente e i rispettivi dati fiscali 0 
il nome di altro soggetto beneficiario; b) l’importo del vantaggio economi- 
co corrisposto; c) la norma o il titolo a base dell’attribuzione; d) l’ufficio e 
il funzionario o dirigente responsabile del relativo procedimento ammini- 
strativo; e) la modalità seguita per l’individuazione del beneficiario; f) il 
link al progetto selezionato e al curriculum del soggetto incaricato (art. 27, 
comma 1). 
In tale quadro, lo stesso d. lgs. n. 33/2013 individua una serie di limi- c. 
. : î ; i . i i i ; . +. Eccezioni 
ti all’obbligo di pubblicazione di atti di concessione di benefici economici all'obbligo di pub- 
comunque denominati. i 
Non possono, infatti, essere pubblicati i dati identificativi delle per- benefici economici 
sone fisiche destinatarie dei provvedimenti di concessione di sovvenzioni, 
contributi, sussidi e attribuzione di vantaggi economici, nonché gli elenchi 
dei relativi destinatari: Ci. 
a) di importo complessivo inferiore a mille euro nel corso dell’anno cn 
solare a favore del medesimo beneficiario‘; riore a mille euro 
b) di importo superiore a mille euro nel corso dell’anno solare a fa- nell'anno solare 
vore del medesimo beneficiario «qualora da tali dati sia possibile ricavare 
informazioni relative allo stato di salute» (art. 26, comma 4, d. lgs. n. 
33/2013; nonché artt. 22, comma 8, e 68, comma 3, del Codice); 
c) di importo superiore a mille euro nel corso dell’anno solare a favo- 
re del medesimo beneficiario «qualora da tali dati sia possibile ricavare 
informazioni relative [...] alla situazione di disagio economico-sociale de- 
gli interessati» (art. 26, comma 4, d. lgs. n. 33/2013). 
Si ribadisce, con specifico riferimento alle informazioni idonee a ri- Divieto di diffu- 
velare lo stato di salute, che è vietata la diffusione di qualsiasi dato o in- X'Me dei dati di 


beneficiari idonei a 


formazione da cui si possa desumere lo stato di malattia o l’esistenza di pa- n i di 
salute e relativa 


tologie dei soggetti interessati, compreso qualsiasi riferimento alle condi- casistica 


4 Cfr. sul punto la Delibera CIVIT n. 59/2013 in tema di «Pubblicazione degli atti di concessione 
di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e 
privati (artt. 26 e 27, d. lgs. n. 33/2013)» (in http://www. civit.it/?p=9059) che in proposito ha indicato: 
«L'art. 26, c. 2, del d. Igs. n. 33/20013, inoltre, stabilisce che la pubblicazione è obbligatoria e condizio- 
ne di efficacia solo per importi superiori a mille euro. In base a quanto stabilito dalla norma, questi sono 
da intendersi sia se erogati con un unico atto, sia con atti diversi ma che nel corso dell’anno solare supe- 
rino il tetto dei mille euro nei confronti di un unico beneficiario. Ove, quindi, l’amministrazione abbia 
emanato più provvedimenti i quali, nell’arco dell’anno solare, hanno disposto la concessione di vantaggi 
economici a un medesimo soggetto, superando il tetto dei mille euro, l’importo del vantaggio economico 
corrisposto, di cui all’art. 27, c. 1, lett. b), del decreto, è da intendersi come la somma di tutte le eroga- 
zioni effettuate nel periodo di riferimento. In tali casi, l’amministrazione deve necessariamente pubblica- 
re, come condizione legale di efficacia, l’atto che comporta il superamento della soglia dei mille euro, 
facendo peraltro riferimento anche alle pregresse attribuzioni che complessivamente hanno concorso al 
suddetto superamento della soglia». 
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zioni di invalidità, disabilità o handicap fisici e/o psichici (cfr. supra par. 
2). Si pensi, ad esempio, all’indicazione: 
- della disposizione sulla base della quale ha avuto luogo 
l’erogazione del beneficio economico se da essa è possibile ricavare infor- 
mazioni sullo stato di salute di una persona (si pensi all’indicazione ‘“‘ero- 
gazione ai sensi della legge 104/1992” che, come noto, è la «Legge-quadro 
per l’assistenza, l’integrazione sociale e i diritti delle persone handicappa- 
te»); 
- dei titoli dell’erogazione dei benefici (ad es., attribuzione di borse 
di studio a “soggetto portatore di handicap”, o riconoscimento di buono so- 
ciale a favore di “anziano non autosufficiente” o con l’indicazione, insieme 
al dato anagrafico, delle specifiche patologie sofferte dal beneficiario); 
- delle modalità e dei criteri di attribuzione del beneficio economico 
(ad es., punteggi attribuiti con l’indicazione degli “indici di autosufficienza 
nelle attività della vita quotidiana”); 
- della destinazione dei contributi erogati (ad es., contributo per “ri- 
covero in struttura sanitaria” o per ‘assistenza sanitaria”). 
Analogamente, è vietato riportare dati o informazioni da cui si può 
desumere la condizione di indigenza o di disagio sociale in cui versano gli  pivieto di diffa- 
interessati (art. 26, comma 4, del d. lgs. n. 33/2013). sione dei dati di 
Si tratta di un divieto funzionale alla tutela della dignità, dei diritti e DMelician idonel a 
delle libertà fondamentali dell’interessato (art. 2 del Codice), al fine di evi- di disagio econo-. 
tare che soggetti che si trovano in condizioni disagiate —economiche o so- n. i 
ciali soffrano l’imbarazzo della diffusione di tali informazioni, o possano 
essere sottoposti a conseguenze indesiderate, a causa della conoscenza da 
parte di terzi della particolare situazione personale. Si pensi, fra l’altro alle 
fasce deboli della popolazione (persone inserite in programmi di recupero e 
di reinserimento sociale, anziani, minori di età, etc.). Alla luce delle consi- 
derazioni sopra espresse, spetta agli enti destinatari degli obblighi di pub- 
blicazione online contenuti nel d. lgs. n. 33/2013, in quanto titolari del trat- 
tamento, valutare, caso per caso, quando le informazioni contenute nei 
provvedimenti rivelino l’esistenza di una situazione di disagio economico o 
sociale in cui versa il destinatario del beneficio e non procedere, di conse- 
guenza, alla pubblicazione dei dati identificativi del beneficiario o delle al- 
tre informazioni che possano consentirne l’identificazione. Tale decisione 
rimane comunque sindacabile da parte del Garante che assicura il rispetto 
dei predetti principi in materia di protezione dei dati personali. 
In ogni modo, si evidenzia che i soggetti destinatari degli obblighi di Divieto di diffu- 
pubblicazione contenuti nel d. lgs. n. 33/2013 sono tenuti, anche in tale %i9n° di dati perso- 


nali non necessari, 


ambito, al rispetto dei principi di necessità (art. 3, comma 1, del Codice), non pertinenti o 


eccedenti 


45 C.d. scala Adl o di Katz. 
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pertinenza e non eccedenza (art. 11, comma I, lett. d), del Codice), nonché 
delle disposizioni a tutela dei dati sensibili (art. 22 del Codice). 

Non risulta, pertanto, giustificato diffondere, fra l’altro, dati quali, ad 
esempio, l’indirizzo di abitazione o la residenza, il codice fiscale di persone 
fisiche, le coordinate bancarie dove sono accreditati i contributi o i benefici 
economici (codici IBAN), la ripartizione degli assegnatari secondo le fasce 
dell’Indicatore della situazione economica equivalente-Isee, l’indicazione 
di analitiche situazioni reddituali, di condizioni di bisogno o di peculiari si- 
tuazioni abitative, etc.. 

Si evidenzia, inoltre, che il riutilizzo dei dati personali pubblicati ai 
sensi dei predetti artt. 26 e 27, non è libero, ma subordinato —come stabilito 
dallo stesso art. 7 del d. lgs. n. 33/2013- alle specifiche disposizioni di cui 
alla direttiva comunitaria 2003/98/CE e al d. lgs. n. 36 del 24 gennaio 2006 
di recepimento della stessa, che non pregiudicano in alcun modo il livello 
di tutela delle persone con riguardo al trattamento dei dati personali (sul 
punto si rimanda alle indicazioni fornite supra nel par. 6). 


9.e.i. Albo dei beneficiari di provvidenze di natura economica (d.P.R. 7 
aprile 2000, n. 118) 


L’assolvimento degli obblighi di pubblicazione degli atti di conces- 
sione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi econo- 
mici descritti nel paragrafo precedente deve essere coordinato con le dispo- 
sizioni che regolano la predisposizione dell’albo dei beneficiari di provvi- 
denze di natura economica (d.P.R. 7 aprile 2000, n. 118). 

Per tale motivo —alla luce di un’interpretazione sistematica del qua- 
dro normativo emergente dalla recente novella in tema di trasparenza e al 
fine di non duplicare in capo alle pubbliche amministrazioni gli oneri di 
pubblicazione— deve ritenersi che l’adempimento delle prescrizioni conte- 
nute negli artt. 26 e 27 del d. lgs. n. 33/2013, con le relative modalità ed ec- 
cezioni descritte nel paragrafo precedente, assorbe gli obblighi previsti da- 
gli artt. 1 e 2 del d.P.R. n. 118°°. 

Per gli stessi motivi, il Garante ritiene, inoltre, che i soggetti diversi 
dalle pubbliche amministrazioni*” parimenti tenuti alla pubblicazione 
dell’albo dei beneficiari di provvidenze di natura economica ai sensi del 
d.P.R. n. 118/2000 devono comunque rispettare le medesime cautele ed ec- 
cezioni previste dagli artt. 26 e 27 descritte nel paragrafo precedente (ad 


4‘ Cfr. Delibera Civit n. 59/2013 in tema di «Pubblicazione degli atti di concessione di sovvenzio- 
ni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati 
(artt. 26 e 27, d.lgs. n. 33/2013)», cit... 

4 Cfr. la definizione contenuta nell’art. 11 del d. lgs. n. 33/2013 che richiama l’art. 1, comma 2, 
del d. lgs. 30 marzo 2001, n. 165, e ss.mm.. 
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es., divieto di pubblicazione dei dati identificativi dei soggetti beneficiari di 
importi inferiori a mille euro nell’anno solare, di informazioni idonee a ri- 
velare lo stato di salute o la situazione di disagio economico-sociale degli 
interessati, di dati eccedenti o non pertinenti). 
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PARTE SECONDA 


PUBBLICITÀ PER ALTRE FINALITÀ DELLA P.A. 


1. Limiti alla diffusione di dati personali nella pubblicazione di atti e 
documenti sul web per finalità diverse dalla trasparenza 


Come illustrato nell’«Introduzione» alle presenti Linee guida, esisto- 
no casi e obblighi di pubblicità online di dati, informazioni e documenti Obblighi di pubbli- 
della p.a., contenuti in specifiche disposizioni di settore diverse da quelle = cità dell'azione 
previste in materia di trasparenza, come, fra l’altro, quelli volti a far cono- pubblicazione per 
scere l’azione amministrativa in relazione al rispetto dei principi di legitti- Gera pd 
mità e correttezza, o quelli necessari a garantire la pubblicità legale degli za 
atti amministrativi (ad es., pubblicità integrativa dell’efficacia, dichiarativa, 
notizia). 

Per un’elencazione non esaustiva degli obblighi di pubblicità che ri- 
cadono in tale categoria si rinvia ‘agli esempi già illustrati 
nell’«Introduzione» alle presenti Linee guida. 

Anche per tali fattispecie occorre —come già indicato per gli obblighi 
di pubblicità di dati personali per finalità di «trasparenza» che le pubbli- 
che amministrazioni, prima di mettere a disposizione sui propri siti web i- 
stituzionali atti e documenti amministrativi (in forma integrale o per estrat- 
to, ivi compresi gli allegati) contenenti dati personali, verifichino se la 
normativa di settore preveda espressamente tale obbligo (art. 4, comma 1, 
lett. m), e art. 19, comma 3, del Codice, con riguardo ai dati comuni, non- 
ché artt. 20, 21 e 22, comma 11, con riferimento ai dati sensibili e giudizia- 
ri). 

Laddove l’amministrazione riscontri l’esistenza di un obbligo norma- 
tivo che impone la pubblicazione dell’atto o del documento nel proprio sito 
web istituzionale è necessario selezionare i dati personali da inserire in tali 
atti e documenti, verificando, caso per caso, se ricorrono i presupposti per 
l’oscuramento di determinate informazioni. 

Ciò pure in considerazione del fatto che, anche in tale ipotesi, i sog- 
getti pubblici sono tenuti a ridurre al minimo l’utilizzazione di dati perso- principio di neces- 
nali e di dati identificativi (art. 4, comma 1, lett c), del Codice), ed evitare il Sit 
relativo trattamento quando le finalità perseguite nei singoli casi possono 
essere realizzate mediante dati anonimi o altre modalità che permettano di 
identificare l’interessato solo in caso di necessità (c.d. “principio di neces- 
sità” di cui all’art. 3, comma 1, del Codice). 

Pertanto, anche in presenza di un obbligo di pubblicità è consentita la 


Il rispetto dei prin- 


diffusione dei soli dati personali la cui inclusione in atti e documenti sia re- cipî di pertinenza e 


non eccedenza 
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almente necessaria e proporzionata al raggiungimento delle finalità perse- 
guite dall’atto (c.d. “principio di pertinenza e non eccedenza” di cui all’art. 
11, comma 1, lett. d), del Codice). 

Il procedimento di selezione dei dati personali suscettibili di essere 
resi diffusi deve essere, inoltre, particolarmente accurato nei casi in cui tali 
informazioni sono idonee a rivelare l’origine razziale ed etnica, le convin- 
zioni religiose, filosofiche, le opinioni politiche, l'adesione a partiti, sinda- 
cati, associazioni o organizzazioni a carattere religioso, filosofico, politico Dati sensibili e 
o sindacale, la vita sessuale («dati sensibili»), oppure nel caso di dati idonei  8!diziari 
a rivelare provvedimenti di cui all’articolo 3, comma 1, lettere da a) a 0) e 
da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario 
giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e 
dei relativi carichi pendenti, nonché la qualità di imputato o di indagato 
(«dati giudiziari») (art. 4, comma 1, lett. d) ed e), del Codice). 

I dati sensibili e giudiziari, infatti, sono protetti da un quadro di ga- 
ranzie particolarmente stringente che prevede la possibilità per i soggetti 
pubblici di diffondere tali informazioni solo nel caso in cui sia previsto da 
una espressa disposizione di legge e di trattarle solo nel caso in cui siano in 
concreto «indispensabili» per svolgere l’attività istituzionale che non può 
essere adempiuta, caso per caso, mediante l’utilizzo di dati anonimi o di da- 
ti personali di natura diversa (artt. 22, in particolare commi 3, 5 e 11 e 68, 
comma 3, del Codice). 

Resta, invece, del tutto vietata la diffusione di «dati idonei a rivelare 
lo stato di salute» (art. 22, comma 8, del Codice). 

Ciò significa, di conseguenza, che è vietata la pubblicazione di qual- Divieto assoluto di 
siasi informazione da cui si possa desumere lo stato di malattia o ui 
l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferi- rivelare lo stato di 
mento alle condizioni di invalidità, disabilità o handicap fisici e/o psichi- 5°!" 

Gi°, 

A tale scopo, fin dalla fase di redazione degli atti e dei documenti 
oggetto di pubblicazione, nel rispetto del principio di adeguata motivazio- 
ne, non dovrebbero essere inseriti dati personali «eccedenti», «non perti- 
nenti», «non indispensabili» (e, tantomeno, «vietati»). In caso contrario, 


49 
occorre provvedere, comunque, al relativo oscuramento”. 


48 Cfr. i provvedimenti del Garante citati supra in nota 5. 

4 In tal senso v. già il parere del Garante del 26 ottobre 1998, doc. web n. 30951; Provv.ti 17 apri- 
le 2003, doc. web n. 1054640; 12 gennaio 2004, doc. web n. 1053395; 25 gennaio 2007, doc. web n. 
1386836; 7 ottobre 2009, doc. web n. 1669620; 12 aprile 2012, doc. web n. 1896533; 1 agosto 2013, doc. 
web n. 2578588. Nella giurisprudenza di legittimità, in senso analogo, cfr. Cass. civ., sez. I, 20 luglio 
2012, n. 12726, che ha confermato il Provvedimento del Garante del 9 dicembre 2003, doc. web n. 
1054649; sulla necessità dell’osservanza del principio di proporzionalità (in occasione alla diffusione 
sull’albo pretorio di dati riferiti alle condizioni di salute dell’interessato) v. altresì Cass. civ., sez. I, 8 ago- 
sto 2013, n. 18980; Cass. civ., sez. I, 13 febbraio 2012, n. 2034. 
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Si pensi oltre al caso dei dati sensibili e giudiziari, a quelle informa- 
zioni delicate (come ad esempio agli atti adottati nel quadro dell’attività di 
assistenza e beneficenza, che comportano spesso la valutazione di circo- 
stanze e requisiti personali che attengono a situazioni di particolare disa- 
gio). Specie in tali casi -come già evidenziato con riferimento alla traspa- 
renza (nel par. 2 della parte prima delle presenti Linee guida) può risultare 
utile menzionare i predetti dati solo negli atti a disposizione negli uffici (ri- 
chiamati quale presupposto della deliberazione e consultabili solo da inte- 
ressati e controinteressati), oppure fare riferimento a delicate situazioni di 
disagio personale solo sulla base di espressioni di carattere più generale 0, 
se del caso, di codici numerici °°. 

Per esigenze di chiarezza espositiva, i limiti alla diffusione di dati 
personali sopradescritti sono sinteticamente rappresentati nello schema 1 
riportato in calce al par. 2 della parte prima delle presenti Linee guida. 


2. Accorgimenti tecnici in relazione alle finalità perseguite 


A fronte della messa a disposizione online di atti e documenti ammi- 
nistrativi contenenti dati personali per finalità di pubblicità dell’azione 
amministrativa, occorre assicurare forme corrette e proporzionate di cono- 
scibilità di tali informazioni. A tal fine, è necessario impedire la loro indi- 
scriminata e incondizionata reperibilità in Internet e garantire il rispetto dei 
principi di qualità ed esattezza dei dati, delimitando la durata della loro di- 
sponibilità online. 


2.a. Evitare l’indicizzazione nei motori di ricerca generalisti 


Occorre evitare, ove possibile, la reperibilità dei dati personali da 
parte dei motori di ricerca esterni (ad es., Google), stante il pericolo di de- 
contestualizzazione del dato personale e la riorganizzazione delle informa- 
zioni restituite dal motore di ricerca secondo una logica di priorità di im- 
portanza del tutto sconosciuta, non conoscibile e non modificabile 
dall’utente. 

Pertanto, è opportuno privilegiare funzionalità di ricerca interne al si- 
to web, poiché in tal modo si assicurano accessi maggiormente selettivi e 
coerenti con le finalità di volta in volta sottese alla pubblicazione, garan- 
tendo, al contempo, la conoscibilità sui siti istituzionali delle informazioni 
che si intende mettere a disposizione”. 


5° Cfr. par. 2 del citato Parere del Garante del 7 febbraio 2013, doc. web. n. 2243168. 
5! V. Provvedimento riguardante «Motori di ricerca e provvedimenti di Autorità indipendenti: le 
misure necessarie a garantire il c.d. “diritto all’oblio”» del 10 novembre 2004 (doc. web n. 1116068). 
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A tale scopo, alla luce dell’attuale meccanismo di funzionamento dei 
più diffusi motori di ricerca, in relazione ai dati personali di cui si intende 
limitare la diretta reperibilità online tramite tali strumenti, è possibile uti- 
lizzare regole di accesso convenzionali concordate nella comunità Internet. 

Come già visto (cfr. parte prima, par. 8), si fa riferimento, a titolo e- 
semplificativo, all’inserimento di metatag noindex e noarchive nelle inte- 
stazioni delle pagine web o alla codifica di regole di esclusione all’interno 
di uno specifico file di testo (il file robots.txt) posto sul server che ospita il 
sito web configurato in accordo al Robot Exclusion Protocol (avendo pre- 
sente, comunque, come tali accorgimenti non sono immediatamente effica- 
ci rispetto a contenuti già indicizzati da parte dei motori di ricerca Internet, 
la cui rimozione potrà avvenire secondo le modalità da ciascuno di questi 
previste)”. 


2.b. Tempi limitati e proporzionati di mantenimento della diffusione 
dei dati personali nel web 


I soggetti pubblici sono tenuti ad assicurare il rispetto delle specifi- 
che disposizioni di settore che individuano circoscritti periodi di tempo per 
la pubblicazione di atti e provvedimenti amministrativi contenenti dati per- 
sonali, rendendoli accessibili sul proprio sito web solo per l’ambito tempo- 
rale individuato dalle disposizioni normative di riferimento, anche per ga- 
rantire il diritto all’oblio degli interessati (ad es., art. 124, del d. lgs. 18 a- 
gosto 2000, n. 267, riguardante la pubblicazione di deliberazioni sull’albo 
pretorio degli enti locali per quindici giorni consecutivi, su cui infra par. 
3.a.). 

Nei casi in cui, invece, la disciplina di settore non stabilisce un limite 
temporale alla pubblicazione degli atti, vanno individuati —a cura delle 
amministrazioni pubbliche titolari del trattamento— congrui periodi di tem- 
po entro i quali mantenerli online”?. Tale lasso di tempo non può essere su- 
periore al periodo ritenuto, caso per caso, necessario al raggiungimento de- 
gli scopi per i quali i dati personali stessi sono resi pubblici”. 


5° Per approfondimenti, si consulti, a tal proposito, l’indirizzo web: http://www.robotstxt.org/. 

5? A titolo esemplificativo, è possibile utilizzare a questo scopo sistemi di web publishing e Cms 
(Content management systems) in grado di attribuire, anche mediante l’utilizzo di parole-chiave (meta- 
dati), un intervallo temporale di permanenza della documentazione all’interno del sito istituzionale, con- 
sentendone una sua agevole rimozione, anche in forma automatica. In assenza di meccanismi automatiz- 
zati di gestione del termine di scadenza della medesima documentazione, andrebbero inoltre previste pro- 
cedure di verifica della validità temporale e del requisito di disponibilità al pubblico delle informazioni ivi 
contenute, da programmare con cadenza periodica o in seguito a un aggiornamento dell’informazione. 
Cfr. anche le Linee guida per i siti web della PA del Ministro per la pubblica amministrazione e 
l’innovazione redatte dall’allora DigitPa (ora AgID) ai sensi dell’art. 4 della Direttiva 8/2009 del Ministro 
per la pubblica amministrazione e l'innovazione del 26 novembre 2009 (in 
http://{www.funzionepubblica.gov.it/lazione-del-ministro/linee-guida-siti-web-pa/presentazione.aspx). 

° Cfr. Provv. Garante del 6 dicembre 2012, n. 384, doc. web n. 2223278. 
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Trascorsi i predetti periodi di tempo specificatamente individuati dal- 
la normativa di settore o, in mancanza, dall’amministrazione, determinate 
notizie, documenti o sezioni del sito devono essere rimossi dal sito web op- 
pure devono essere privati degli elementi identificativi degli interessati e 
delle altre informazioni che possano consentirne l’identificazione. 

Resta salva la possibilità di consultare il documento completo, con i 
riferimenti in chiaro, tramite una rituale richiesta di accesso agli atti ammi- 
nistrativi presso gli uffici competenti, laddove esistano i presupposti previ- 
sti dalla 1. 7 agosto 1990, n. 241. 


2.c. Evitare la duplicazione massiva dei file contenenti dati personali 


Devono essere adottate opportune cautele per ostacolare operazioni 
di duplicazione massiva dei file contenenti dati personali da parte degli u- 
tenti della rete, rinvenibili sui siti istituzionali delle amministrazioni pub- 
bliche, mediante l’utilizzo di software o programmi automatici, al fine di 
ridurre il rischio di riproduzione e riutilizzo dei contenuti informativi in 
ambiti e contesti differenti. 

A tale scopo si può fare ricorso ad accorgimenti consistenti, ad e- 
sempio, nell’uso di strumenti tecnologici in grado di riconoscere accessi 
che risultino anomali per la loro frequenza o perché realizzati tramite 
l’azione di strumenti automatizzati e non da persone: si può ricorrere in tal 
caso a sistemi di verifica ‘captcha’”. 

Gli accorgimenti che si intende utilizzare devono comunque essere 
conformi ai principi di fruibilità, di usabilità e di accessibilità dei siti istitu- 
zionali delle pubbliche amministrazioni, garantendo in particolare 
l'accessibilità alle informazioni riprodotte online anche alle persone disabi- 
La 


2.d. Dati personali esatti e aggiornati 


Per garantire la qualità dei dati personali trattati, le amministrazioni 
pubbliche, nel procedere alla divulgazione online nei casi previsti dalla di- 
sciplina di settore di dati e informazioni, sono tenute a mettere a disposi- 
zione soltanto dati personali esatti e aggiornati (art. 11, comma 1, lett. c), 
del Codice). 


55 Sul punto, si rimanda alle precisazioni contenute supra in nota 31. 

5 v., al riguardo, art. 53 del CAD; v. anche d.P.R. 1 marzo 2005, n. 75 «Regolamento di attuazio- 
ne della I. 9 gennaio 2004, n. 4, per favorire l’accesso dei soggetti disabili agli strumenti informatici» e 
d.m. 30 aprile 2008 «Regole tecniche disciplinanti l'accessibilità agli strumenti didattici e formativi a fa- 
vore degli alunni disabili». 
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A tale fine, occorre adottare idonee misure per eliminare o ridurre il 
rischio di cancellazioni, modifiche, alterazioni o decontestualizzazioni delle 
informazioni e dei documenti resi disponibili tramite il proprio sito web 1i- 
stituzionale. Un utile accorgimento consiste, ad esempio, nell’indicazione, 
tra i dati di contesto riportati all’interno del contenuto informativo dei do- 
cumenti””, delle fonti attendibili per il reperimento dei medesimi documen- 
ti. Un ulteriore accorgimento la cui adozione potrà essere valutata dalle 
amministrazioni pubbliche titolari del trattamento, anche in relazione a 
specifiche categorie di documenti, è la sottoscrizione del documento pub- 
blicato sul sito web con firma digitale” o altro accorgimento equivalente, in 
modo da garantirne l’autenticità e l’integrità. 

Il rischio della decontestualizzazione è strettamente correlato alla 
possibilità che i contenuti informativi disponibili sul sito istituzionale sono 
accessibili mediante l’utilizzo di motori di ricerca esterni, oppure sono re- 
peribili attraverso la consultazione di siti web dove sono ospitate copie dei 
medesimi contenuti informativi. 

Pertanto, ogni file oggetto di pubblicazione sui siti web istituzionali, 
potendo essere letto in un altro ambito e in un momento successivo alla sua 
diffusione, dovrebbe prevedere l’inserimento dei “dati di contesto” (ad es., 
data di aggiornamento, periodo di validità, amministrazione, segnatura di 
protocollo o dell’albo). 


3. Fattispecie esemplificative 


3.a. Albo pretorio online degli enti locali 


La disposizione di ordine generale sulla tenuta dell’albo pretorio ne- 
gli enti locali è contenuta nel «Testo unico delle leggi sull’ordinamento de- 
gli enti locali», il quale sancisce che «Tutte le deliberazioni del comune e Albo pretorio onli- 
della provincia sono pubblicate mediante affissione all’albo pretorio, nella EEA 
sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni n. 267/2000 
di legge» e che «Tutte le deliberazioni degli altri enti locali sono pubblica- 
te mediante affissione all’albo pretorio del comune ove ha sede l’ente, per 
quindici giorni consecutivi, salvo specifiche disposizioni» (art. 124, commi 


1 e 2, del d. lgs. n. 267/2000). 


5? V. Ja Delibera n. 105/2010 della CIVIT recante le «Linee guida per la predisposizione del Pro- 
gramma triennale per la trasparenza e l’integrità (articolo 13, comma 6, lettera e, del decreto legislativo 
27 ottobre 2009, n. 150)», in http://www. civit.it/wp-content/uploads/Delibera-n.105.20102.pdf. 

58 Si rinvia, al riguardo, alle regole tecniche sulla firma digitale dettate da DigitP A (ora AgID) re- 
peribili sul sito istituzionale dell'ente: http://www. digitpa.gov.it/. 
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Va aggiunto che, accanto a tale regola, nel corso del tempo si sono 
susseguite molteplici disposizioni di natura statale, regionale e locale che 
sanciscono a carico degli enti locali ulteriori obblighi di pubblicazione di 
atti e documenti nella bacheca dell’albo pretorio per periodi di tempo diffe- 
renziati, producendo una frammentazione della disciplina in materia”. 

A seguito dell’entrata in vigore della riforma contenuta nella 1. 18 
giugno 2009, n. 69, recante «Disposizioni per lo sviluppo economico, la 
semplificazione, la competitività nonché in materia di processo civile», gli 
enti locali hanno provveduto all’istituzione dell’albo pretorio online al fine 
di adempiere agli obblighi di pubblicità legale dei propri atti. 

La disciplina appena richiamata, infatti, senza abrogare le precedenti 
disposizioni in materia di tenuta dell’albo pretorio, ha sancito espressamen- 
te che «a far data dal 1° gennaio 2010, gli obblighi di pubblicazione di atti 
e provvedimenti amministrativi aventi effetto di pubblicità legale si inten- 
dono assolti con la pubblicazione nei propri siti informatici da parte delle 
amministrazioni e degli enti pubblici obbligati» e che «a decorrere dal 1 
gennaio 2011 [...] le pubblicazioni effettuate in forma cartacea non hanno 
effetto di pubblicità legale» (art. 32, commi 1 e 5). Dal 1° gennaio 2011, 
dunque, gli obblighi di pubblicità legale che gli enti locali assolvevano at- 
traverso l’affissione all’albo pretorio sono sostituiti dalla pubblicazione 
della medesima documentazione nei rispettivi siti web istituzionali”. 

Pertanto, l’amministrazione locale che ha intenzione di pubblicare  Lecita la diffusione 
sull’albo pretorio online un atto contenente dati personali (cfr. la definizio- di dati personali 


nell’albo pretorio 


ne contenuta nell’art. 4, comma 1, lett. 5), del Codice) è tenuta a verificare, online solo se pre- 
limi dati LS) di dii di vista da una speci- 

preliminarmente, per i dati comuni, l’esistenza di una norma di legge © di ica norma di legge 

regolamento (ai sensi dell’art. 19, comma 3, del Codice) oppure, per i dati © di regolamento 


sensibili e giudiziari, di una norma di legge (ai sensi degli artt. 20, 21 e art. 


L’art. 32 della 
1. n. 69/2009 


99 Cfr., a titolo esemplificativo, ex pluribus, l'affissione nell’albo del comune dell’avviso di depo- 
sito dell’atto da notificare a persona irreperibile in materia di accertamento delle imposte sui redditi (art. 
60, comma 1, lett. e), del d.P.R. 29 settembre 1973, n. 600); l’affissione all’albo comunale o provinciale 
della notizia dell’inadempienza alla diffida ad adempiere l’obbligo di pubblicità della situazione patrimo- 
niale da parte degli amministratori locali (art. 14, comma |, della legge 5 luglio 1982, n. 441); l’affissione 
nell’albo comunale da parte del segretario comunale dei dati relativi agli immobili e alle opere realizzati 
abusivamente, oggetto dei rapporti degli ufficiali e agenti di polizia giudiziaria e delle relative ordinanze 
di sospensione (art. 31, comma 7, del d.P.R. 6 giugno 2001, n. 380); l’affissione dell’avviso del sindaco 
contenente l’invito ai cittadini a presentare eventualmente ricorso contro le decisioni della Commissione 
elettorale comunale relative l’iscrizione nelle liste elettorali e dell’avviso del deposito presso la segreteria 
del comune dell’elenco revisionato degli elettori iscritti alle liste elettorali (art. 18, comma 1, e art. 32, 
comma 6, del d.P.R. 20 marzo 1967, n. 223); l’affissione all’albo pretorio del comune di una copia 
dell’elenco dei cittadini che, pur essendo compresi nelle liste elettorali, non avranno compiuto, nel primo 
giorno fissato per le elezioni, il diciottesimo anno di età redatta dalla commissione elettorale comunale 
(art. 33, comma 3, del d.P.R. n. 223/1967 cit.); l’affissione all’albo pretorio del comune dell’elenco dei 
giudici popolari di Corte di assise e di Corte di assise di appello (artt. 17 ss. della legge 10 aprile 1951, n. 
287). 

°° Per una specifica delle caratteristiche dell’albo pretorio si rimanda alle indicazioni contenute nel 
Vademecum elaborato da DigitPA (ora AgID) del luglio 2011 intitolato «Modalità di pubblicazione dei 
documenti nell’Albo online», in http://www. digitpa.gov.it/sites/default/files'VADEMECUM%202011_ 
Modalita pubblicazione documenti Albo_online.pdf. 
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22, comma 11, del Codice) che le prescriva l’affissione di quell’atto 
all’albo pretorio. 

Inoltre, anche alle pubblicazioni nell’albo pretorio online si applica- 
no tutti i limiti previsti supra nel par. 1, della parte seconda, delle presenti 
Linee Guida (cfr. divieto di diffusione di dati idonei a rivelare lo stato di 
salute e cautele per gli altri dati sensibili e giudiziari; nonché divieto di dif- 
fondere dati personali non necessari, non pertinenti o eccedenti). 

Con specifico riferimento, inoltre, ai dati sensibili e giudiziari, gli en- 
ti locali devono agire nel rispetto del proprio regolamento sul trattamento 
dei dati sensibili e giudiziari adottato in conformità agli schemi tipo Anci, 
Upi e Uncem su cui il Garante ha già espresso parere favorevole, rispetti- 
vamente, il 21 settembre 2005, il 7 settembre 2005 e il 19 ottobre 2005 (v. 
doc. web n. 1174532, doc. web n. 1175684, doc. web n. 1182195). 

Una volta trascorso il periodo temporale previsto dalle singole disci- 
pline per la pubblicazione degli atti e documenti nell’albo pretorio, gli enti 
locali non possono continuare a diffondere i dati personali in essi contenuti. 
In caso contrario, si determinerebbe, per il periodo eccedente la durata pre- 
vista dalla normativa di riferimento, una diffusione dei dati personali illeci- 
ta perché non supportata da idonei presupposti normativi (art. 19, comma 3, 
del Codice). Ciò, salvo che gli stessi atti e documenti non debbano essere 
pubblicati in ottemperanza agli obblighi in materia di trasparenza (cfr. parte 
prima delle presenti Linee guida). 

A tal proposito, ad esempio, la permanenza nel web di dati personali 
contenuti nelle deliberazioni degli enti locali oltre il termine di quindici 
giorni, previsto dall’art. 124 del citato d. lgs. n. 267/2000, può integrare 
una violazione del suddetto art. 19, comma 3, del Codice, laddove non esi- 
sta un diverso parametro legislativo o regolamentare che preveda la relativa 
diffusione®'. 

Nell’ipotesi in cui, invece, la normativa di riferimento non indichi la 
durata temporale dell’affissione all’albo, l’amministrazione deve comunque 
individuare un congruo periodo di tempo —non superiore al periodo ritenu- 
to, caso per caso, necessario al raggiungimento dello scopo per il quale 
l’atto è stato adottato e i dati stessi sono stati resi pubblici— entro il quale i 
dati personali devono rimanere disponibili. Per i motivi esposti 
nell’«Introduzione» e nel par. 1 della parte prima delle presenti Linee guida 
alle pubblicazioni nell’albo pretorio online non si applica l’arco temporale 
dei cinque anni previsto per la pubblicità di dati e informazioni sui siti web 
istituzionali per finalità di trasparenza di cui all’art. 8 del d. Igs. n. 33/2013. 

Pertanto —una volta trascorso il periodo di pubblicazione previsto 
dalle singole discipline di riferimento oppure, in mancanza, decorso il peri- 
odo di tempo individuato dalla stessa amministrazione— se gli enti locali 


9! Cfr. Provv. Garante del 23 febbraio 2012, doc. web n. 1876679. 
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vogliono continuare a mantenere nel proprio sito web istituzionale gli atti e 
i documenti pubblicati, ad esempio nelle sezioni dedicate agli archivi degli 
atti e/o della normativa dell’ente, devono apportare gli opportuni accorgi- 
menti per la tutela dei dati personali. In tali casi, quindi, è necessario prov- 
vedere a oscurare nella documentazione pubblicata i dati e le informazioni 
idonei a identificare, anche in maniera indiretta, i soggetti interessati. 
Poiché, inoltre, la finalità perseguita mediante gli obblighi di pubbli- 
cazione nell’albo pretorio online riguarda atti e provvedimenti concernenti I 
questioni rilevanti essenzialmente nell’ambito della collettività locale di ri- . nei motori di ricer- 
ferimento, risulta sproporzionato, rispetto alla finalità di pubblicità, consen- ‘A Sneralist dei 


dati personali con- 
tire l’indiscriminata reperibilità in rete dei dati personali contenuti in atti e tenuti negli atti 
provvedimenti amministrativi tramite i comuni motori di ricerca generalisti si ne 
(ad es., Google). Pertanto, si consiglia alle amministrazioni pubbliche re- 

sponsabili dell’inserzione degli atti nell’albo pretorio online, di adottare gli 

opportuni accorgimenti tecnici per evitare l’indicizzazione nei motori di ri- 

cerca generalisti della documentazione contenente dati personali e pubbli- 

cata sull’albo pretorio online dei siti istituzionali degli enti locali (sulle tec- 

niche per deindicizzare si rinvia alle indicazioni contenute supra nel par. 


2.a. della presente parte seconda). 


3.b. Graduatorie 


Con riguardo alla pubblicità degli esiti delle prove concorsuali e del- Lisa fermo itre. 
le graduatorie finali -nonché, nei casi (e con le modalità) previsti, dei risul- gime di pubblicità 
tati di prove intermedie— di concorsi e selezioni pubbliche e di altri proce- i... 
dimenti che prevedono la formazione di graduatorie, restano salve le nor- tore 
mative di settore che ne regolano tempi e forme di pubblicità (ad es., affis- 
sione presso la sede dell’ente pubblico, pubblicazione nel bollettino 
dell’amministrazione o, per gli enti locali, all’albo pretorio)??. Tale regime 
di conoscibilità, come già rilevato in passato dal Garante, assolve alla 
funzione di rendere pubbliche le decisioni adottate dalla commissione esa- 
minatrice e/o dall’ente pubblico procedente, anche al fine di consentire agli 


°° V. Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione 
del rapporto di lavoro in ambito pubblico del 14 giugno 2007, cit., punto 6.1. Cfr. art. 15, d.P.R. 9 mag- 
gio 1994, n. 487, in particolare commi 5, 6 e 6 bis e, più in generale, sulla pubblicità delle procedure di 
reclutamento del personale delle pubbliche amministrazioni, art. 35, comma 3, d. lgs. 30 marzo 2001, n. 
165. 

°° Cfr. parr. 6.B.1 e 6.B.2, delle Linee guida în materia di trattamento di dati personali contenuti 
anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e 
diffusione sul web, 2 marzo 2011 (già par. 6.1 delle Linee guida in materia di trattamento di dati persona- 
li di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, 14 giugno 2007 e par. 
10.2 delle Linee guida in materia di trattamento di dati personali per finalità di pubblicazione e diffusio- 
ne di atti e documenti di enti locali, doc. web n. 1407101). 
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interessati l’attivazione delle forme di tutela dei propri diritti e di controllo 
della legittimità delle procedure concorsuali o selettive. 
Anche a questo riguardo devono essere diffusi i soli dati pertinenti € ;vieto di diftu- 
e a si sd +64 i Sé 
non eccedenti riferiti agli interessati”’. Non possono quindi formare oggetto — sione di dati con- 
di pubblicazione dati concernenti i recapiti degli interessati (si pensi alle Senti la condi 


zione di salute e 


utenze di telefonia fissa o mobile, l’indirizzo di residenza o di posta elet- legittimità della 
tronica”, il codice fiscale, l’indicatore Isee, il numero di figli disabili, 1 ri- na 
sultati di test psicoattitudinali o i titoli di studio), né quelli concernenti le non eccedenti 
condizioni di salute degli interessati (cfr. art. 22, comma 8, del Codice), ivi 
compresi i riferimenti a condizioni di invalidità, disabilità o handicap fisici 
e/o psichici”. 
Come già rilevato in passato dal Garante®”, al fine di agevolare le 
modalità di consultazione delle graduatorie oggetto di pubblicazione in 
conformità alla disciplina di settore (per finalità diverse dalla trasparenza), 
le stesse possono altresì essere messe a disposizione degli interessati in aree 
ad accesso selezionato dei siti web istituzionali consentendo la consultazio- 
ne degli esiti delle prove o del procedimento ai soli partecipanti alla proce- 
dura concorsuale o selettiva mediante l’attribuzione agli stessi di credenzia- 
li di autenticazione (ad es., username 0 password, numero di protocollo 0 
altri estremi identificativi forniti dall’ente agli aventi diritto, oppure me- 
diante utilizzo di dispositivi di autenticazione, quali la carta nazionale dei 
servizi). 


% Cfr. Provv. 6 dicembre 2012, n. 384, doc. web n. 2223278. 

5 Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione 
del rapporto di lavoro in ambito pubblico, del 14 giugno 2007, cit., par. 6.1; Provv.ti 6 giugno 2013, n. 
274, doc. web n. 2535862; del 6 giugno 2013, n. 275, doc. web n. 2536184; 6 giugno 2013, n. 276, doc. 
web n. 2536409. 

9% Cfr. già Linee guida in materia di trattamento di dati personali contenuti anche in atti e do- 
cumenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web 
(pubblicato in G.U. n. 64 del 19 marzo 2011, e doc. web n. 1793203; v. altresì, per fattispecie individuali, 
Provv.ti del 6 giugno 2013, n. 277, doc. web n. 2554965; 22 novembre 2012, doc. web n. 2194472; 29 
novembre 2012, doc. web n. 2192671; 7 ottobre 2009, doc. web n. 1664456; 17 settembre 2009, doc. web 
n. 1658335; 25 giugno 2009, doc. web n. 1640102; 8 maggio 2008, doc. web n. 1521716; 18 gennaio 
2007, doc. web n. 1382026; 27 febbraio 2002, doc. web n. 1063639. 

9 Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione 
del rapporto di lavoro in ambito pubblico, del 14 giugno 2007, cit., par. 6.1. 
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